Μία ομάδα χάκερ που παρακολουθείται ως MUT-1244, έχει κλέψει πάνω από 390.000 λογαριασμούς WordPress σε μια μεγάλης κλίμακας καμπάνια, που στοχεύει άλλους κακόβουλους παράγοντες, χρησιμοποιώντας έναν trojanized έλεγχο διαπιστευτηρίων WordPress.
Δείτε επίσης: Woffice: Ευπάθειες στο WordPress theme – Update now!
Οι ομάδες χάκερ αναφέρονται σε οντότητες που επιδιώκουν να προκαλέσουν κακό ή ζημιές στα συστήματα, τις εφαρμογές και τα δεδομένα χρηστών ή ορανισμών. Οι ομάδες περιλαμβάνουν χάκερ, κυβερνοεπιθέσεις, κακόβουλο λογισμικό, φυσική καταπάτηση ασφάλειας και πολλά άλλα. Η αντίληψη των διαφορετικών κακόβουλων παραγόντων και η λήψη κατάλληλων μέτρων ασφαλείας είναι ζωτικής σημασίας για την προστασία των συστημάτων και των δεδομένων από επιθέσεις και απώλειες.
Ερευνητές της Datadog Security Labs, που εντόπισαν τις επιθέσεις, λένε ότι τα ιδιωτικά κλειδιά SSH και τα κλειδιά πρόσβασης AWS κλάπηκαν επίσης από τα παραβιασμένα συστήματα εκατοντάδων άλλων θυμάτων, που πιστεύεται ότι περιλαμβάνουν red teamers, ελεγκτές διείσδυσης, ερευνητές ασφαλείας, καθώς και κακόβουλους παράγοντες.
Τα θύματα μολύνθηκαν χρησιμοποιώντας το ίδιο ωφέλιμο φορτίο δεύτερου σταδίου που προωθήθηκε μέσω δεκάδων trojanized αποθετηρίων GitHub παρέχοντας κακόβουλα PoC που στόχευαν γνωστά ελαττώματα ασφαλείας, μαζί με μια καμπάνια ηλεκτρονικού phishing που ωθεί τους στόχους να εγκαταστήσουν μια ψεύτικη αναβάθμιση πυρήνα καμουφλαρισμένη ως μια ενημέρωση μικροκώδικα CPU.
Ενώ τα μηνύματα ηλεκτρονικού phishing εξαπατούσαν τα θύματα να εκτελέσουν εντολές που εγκατέστησαν το κακόβουλο λογισμικό, τα ψεύτικα αποθετήρια εξαπατούσαν τους επαγγελματίες ασφαλείας και τους παράγοντες απειλών που αναζητούσαν κώδικα εκμετάλλευσης για συγκεκριμένα ελαττώματα. Οι κακόβουλοι παράγοντες έχουν χρησιμοποιήσει ψεύτικα PoC στο παρελθόν για να στοχεύσουν ερευνητές, ελπίζοντας να κλέψουν πολύτιμη έρευνα ή να αποκτήσουν πρόσβαση στα δίκτυα των εταιρειών κυβερνοασφάλειας.
Δείτε ακόμα: Hunk Companion: Κρίσιμη ευπάθεια στο WordPress plugin
Τα ωφέλιμα φορτία απορρίφθηκαν μέσω αποθετηρίων GitHub χρησιμοποιώντας πολλαπλές μεθόδους, συμπεριλαμβανομένων αρχείων μεταγλώττισης παραμέτρων με backdoor, κακόβουλων αρχείων PDF, droppers Python και κακόβουλων πακέτων npm που περιλαμβάνονται στις εξαρτήσεις των έργων.
Όπως διαπίστωσε η Datadog Security Labs, αυτή η καμπάνια συμπίπτει με μια που επισημαίνεται σε μια αναφορά Checkmarkx, σχετικά με μια επίθεση εφοδιαστικής αλυσίδας διάρκειας ενός έτους στην οποία το trojanized έργο GitHub “hpc20235/yawp”, χρησιμοποιούσε κακόβουλο κώδικα στο πακέτο npm “0xengine/xmlrpc”. για κλοπή δεδομένων και εξόρυξη κρυπτονομίσματος Monero.
Το κακόβουλο λογισμικό που αναπτύσσεται σε αυτές τις επιθέσεις περιλαμβάνει εξόρυξη κρυπτονομισμάτων και ένα backdoor που βοήθησε την ομάδα MUT-1244 να συλλέξει και να εκμεταλλευτεί ιδιωτικά κλειδιά SSH, διαπιστευτήρια AWS, μεταβλητές περιβάλλοντος και περιεχόμενα καταλόγου κλειδιών όπως “~/.aws“.
Το ωφέλιμο φορτίο δεύτερου σταδίου, που φιλοξενήθηκε σε ξεχωριστή πλατφόρμα, επέτρεψε στους εισβολείς να διευρύνουν δεδομένα σε υπηρεσίες κοινής χρήσης αρχείων όπως το Dropbox και το file.io, με τους ερευνητές να βρίσκουν κωδικοποιημένα διαπιστευτήρια για αυτές τις πλατφόρμες εντός του ωφέλιμου φορτίου, δίνοντας στους εισβολείς εύκολη πρόσβαση στο κλεμμένες πληροφορίες.
Οι εισβολείς εκμεταλλεύτηκαν επιτυχώς την εμπιστοσύνη στην κοινότητα της κυβερνοασφάλειας για να παραβιάσουν δεκάδες μηχανήματα που ανήκαν σε white hat και black hat χάκερ, αφού οι στόχοι εκτέλεσαν εν αγνοία τους το κακόβουλο λογισμικό του παράγοντα απειλής, οδηγώντας σε κλοπή δεδομένων που περιελάμβανε κλειδιά SSH, διακριτικά πρόσβασης AWS και ιστορικά εντολών.
Δείτε επίσης: Σφάλμα στο WPForms επιτρέπει επιστροφές χρημάτων σε εκατομμύρια ιστότοπους WordPress
Η Datadog Security Labs εκτιμά ότι εκατοντάδες συστήματα παραμένουν σε κίνδυνο, ενώ άλλα εξακολουθούν να μολύνονται ως μέρος αυτής της συνεχιζόμενης εκστρατείας.
Πηγή: bleepingcomputer
