Ga naar inhoud

Aanvallers verwijderen webshells kort voor publicatie over Pulse Secure-lek


Aanbevolen berichten

Een groep aanvallers heeft een paar dagen voor de publicatie over een zerodaylek in de vpn-software van Pulse Secure webshells van besmette systemen verwijderd, zo claimt securitybedrijf FireEye. Op 20 april kwamen Pulse Secure en FireEye met een waarschuwing voor een actief aangevallen zerodaylek in de Pulse Secure-software. De kwetsbaarheid, aangeduid als CVE-2021-22893, scoort op een schaal van 1 tot en met 10 wat betreft de impact een maximale score van 10.

Daarnaast bleek dat de aanvallers ook van andere, al bekende kwetsbaarheden in de software gebruikmaakten om systemen te compromitteren. Tussen 17 en 20 april zagen onderzoekers van FireEye dat de aanvallers achter deze aanvallen van tientallen systemen de webshells verwijderden die ze via de beveiligingslekken hadden geïnstalleerd. Een webshell is een script dat aanvallers op servers plaatsen om toegang te behouden en op afstand code en commando's uit te voeren.

"Het is ongewoon voor Chinese spionagegroepen om een groot aantal backdoors in de omgevingen van slachtoffers te verwijderen rond de tijd van openbaarmaking. Deze acties laten zorgen over de operationele veiligheid en gevoeligheid voor publiciteit zien", zegt Dan Perez van FireEye. Of de aanvallers mogelijk wisten van het onderzoek van het securitybedrijf of dat het puur toeval is laat Perez niet weten.

Volgens de onderzoeker doen de aanvallers veel moeite om detectie te voorkomen. Zo worden timestamps van bestanden gewijzigd en logbestanden, core dumps en bestanden met gestolen data geregeld aangepast of verwijderd. Verder hebben de aanvallers uitgebreide kennis van netwerkapparaten en het aangevallen netwerk, aldus Perez. Dit kan het lastig voor organisaties maken om een overzicht te krijgen van wat de aanvallers hebben buitgemaakt en sinds wanneer ze in het netwerk aanwezig zijn.

De aanvallers hebben het voorzien op inloggegevens, andere vertrouwelijke data en het behouden van toegang tot het netwerk. Volgens FireEye heeft het tientallen getroffen organisaties in Europa en de Verenigde Staten waargenomen, die actief zijn in de defensie-industrie, overheid, telecomsector, onderwijsinstellingen, transport en financiële sector. Tevens claimt het securitybedrijf dat de spionageactiviteiten van de aanvallers doelen van de Chinese overheid ondersteunen.

 

bron: https://www.security.nl

Link naar reactie
Delen op andere sites


Dit is een verouderd onderwerp. Heb je een gelijkaardige vraag? Start dan een nieuw topic in dit forumonderdeel aub.

Doe mee aan dit gesprek

Je kunt dit nu plaatsen en later registreren. Indien je reeds een account hebt, log dan nu in om het bericht te plaatsen met je account.

Gast
Reageer op dit topic

×   Geplakt als verrijkte tekst.   Plak in plaats daarvan als platte tekst

  Er zijn maximaal 75 emoji toegestaan.

×   Je link werd automatisch ingevoegd.   Tonen als normale link

×   Je vorige inhoud werd hersteld.   Leeg de tekstverwerker

×   Je kunt afbeeldingen niet direct plakken. Upload of voeg afbeeldingen vanaf een URL in

 Delen

×
×
  • Nieuwe aanmaken...