Iranske cyber-agenter har i flere måneder haft fri adgang til centrale statslige it-systemer i USA, som de har bevæget sig rundt i og blandt andet minet kryptovaluta og stjålet og ændret i passwords.
Ifølge den amerikanske it-sikkerhedsmyndighed Cybersecurity & Infrastructure Security Agency (CISA) er de statsstøttede iranske hackere kommet ind i systemerne via Log4J-sårbarheden.
Denne simple - men voldsomt udbredte - sårbarhed fik stor opmærksomhed, da den begyndte at florerer for et lille års tid siden.
Ifølge en meddelelse fra CISA - som du finder her - kom hackerne ind i systemerne via Log4j i en ikke-patchet VMware Horizon-server.
De udnyttede blandt andet adgangen til at installere kryptomining-programmet XMRig og til at kompromittere adgangs-credentials, passwords og lignende.
Blandt andet fik de adgang til proxy-værktøjet Ngrok, hvilket åbnede for, at de kunne komme igennem firewall og ind i netværkene.
Theregister skriver, at CISA i december i fjor udsendte en såkaldt ‘emergency directive’ til alle statslige myndigheder i USA med lodret besked om omgående at få patchet Log4J.
“Men det ser ud til, at nogen overså beskeden,” lyder det.
Register skriver, at de iranske hackere forsøgte at afmontere LSASS-processen i systemerne. Det står for ‘local security authority subsystem service’ og er et centralt element i sikkerheds-niveauet.
Her blev de dog stoppet af den installerede antivirus.
Netop VMwares Horizon-platform har været et yndet mål for hackere, der har forsøgt at udnytte Log4j.
VMware har flere gange forsøgt at lappe sikkerhullet med sikkerhedsopdatering. Det skete første gang med en patch til Horizon, der blev udsendt i slut december og efterfølgende i marts med en patch med navnet CVE-2021-44228.
