稿源:TheHackerNews、中文化:游侠安全网

美国网络安全和基础设施安全局 (CISA) 与海岸警卫队网络司令部 (CGCYBER) 周四发布了一份联合咨询警告,称威胁参与者继续尝试利用 VMware Horizo​​n 服务器中的 Log4Shell 漏洞来破坏目标网络。

“自 2021 年 12 月以来,多个威胁攻击者团体在未打补丁的、面向公众的 VMware Horizo​​n 和 [Unified Access Gateway] 服务器上利用了 Log4Shell,”这些机构表示。 “作为这种利用的一部分,可疑的 APT 攻击者在受感染的系统上植入了加载程序恶意软件,该系统具有嵌入式可执行文件,可实现远程命令和控制 (C2)。”

在一种情况下,据说攻击者能够在受害网络内部横向移动,获得对灾难恢复网络的访问权限,并收集和泄露敏感的执法数据。

Log4Shell 被跟踪为 CVE-2021-44228(CVSS 评分:10.0),是一个远程代码执行漏洞,影响广泛的消费者和企业服务、网站、应用程序和其他产品使用的 Apache Log4j 日志库。

成功利用该漏洞可以使攻击者向受影响的系统发送特制命令,使攻击者能够执行恶意代码并控制目标。

根据作为两次事件响应活动的一部分收集的信息,这些机构表示,攻击者利用该漏洞利用来释放恶意有效负载,包括 PowerShell 脚本和一个名为“hmsvc.exe”的远程访问工具,该工具具有记录击键和部署其他功能的功能恶意软件。

“该恶意软件可以充当 C2 隧道代理,允许远程操作员转向其他系统并进一步进入网络,”这些机构指出,并补充说它还提供“通过目标 Windows 系统的图形用户界面 (GUI) 访问桌面。”

在第二个组织的生产环境中观察到的 PowerShell 脚本促进了横向移动,使 APT 参与者能够植入包含可执行文件的加载程序恶意软件,这些可执行文件包括远程监控系统桌面、获得反向 shell 访问、泄露数据以及上传和执行下一阶段的二进制文件。

此外,敌对组织利用 CVE-2022-22954(VMware Workspace ONE Access and Identity Manager 中的一个远程代码执行漏洞,该漏洞于 2022 年 4 月曝光)植入了 Dingo J-spy web shell。

即使在 6 个多月后仍在进行的与 Log4Shell 相关的活动表明该漏洞引起了攻击者的高度兴趣,包括国家资助的高级持续威胁 (APT) 参与者,他们机会主义地针对未修补的服务器以获得后续活动的初步立足点.

根据网络安全公司 ExtraHop 的说法,Log4j 漏洞一直受到无情的扫描尝试,金融和医疗保健行业正在成为潜在攻击的巨大市场。

“Log4j 将继续存在,我们将看到攻击者一次又一次地利用它,”IBM 拥有的 Randori 在 2022 年 4 月的一份报告中表示。 “Log4j 深埋在共享第三方代码的层层和层中,使我们得出的结论是,我们将看到 Log4j 漏洞的实例在使用大量开源的组织使用的服务中被利用。”

作者 网路游侠

游侠安全网,前身为网路游侠的信息与网络安全博客,站长张百川。专注:网络安全、系统安全、应用安全、数据库安全、运维安全,及网络安全、信息安全前沿技术研究与发展趋势分析。对关键信息基础设施安全防护管理平台、网络安全态势感知平台、网络安全协调指挥平台有一定关注。