Уязвимые серверы Microsoft Exchange атакует ботнет Prometei

[D2]

Так как патчи для проблем ProxyLogon по-прежнему установили не все, уязвимые серверы Microsoft Exchange продолжают атаковать злоумышленники. Теперь исследователи из компании Cybereason Nocturnus обнаружили ботнет Prometei, который добывает криптовалюту Monero на уязвимых машинах.

В начале марта 2021 года инженеры Microsoft выпустили внеплановые патчи для четырех уязвимостей в почтовом сервере Exchange, которым исследователи дали общее название ProxyLogon (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 и CVE-2021-27065).

Эти уязвимости можно объединить в цепочку, а их эксплуатация позволит злоумышленнику пройти аутентификацию на сервере Exchange, получить права администратора, установить малварь и похитить данные.

Уже в марте атаки на уязвимые серверы совершали более 10 хак-групп, разворачивая на серверах веб-шеллы, майнеры и шифровальщики.

Согласно статистике, опубликованной Microsoft в прошлом месяце, примерно 92% всех подключенных к интернету серверов Exchange уже получили патчи.
Нажмите, чтобы раскрыть...

Впервые эта модульная малварь была обнаружена еще в прошлом году. Она способна заражать системы под управлением Windows и Linux, и ранее использовала эксплоит EternalBlue для распространения по скомпрометированным сетям и взлома уязвимых машин.

Эксперты Cybereason Nocturnus и вовсе пишут, что Prometei активен как минимум 2016 года (судя по образцам, загруженным на VirusTotal). Недавно ботнет был обновлен и «научился» эксплуатировать уязвимости ProxyLogon. Таким образом, теперь Prometei атакует серверы Exchange, а затем устанавливает на них пейлоды для майнинга, а также старается распространиться дальше по зараженной сети при помощи эксплоитов EternalBlue и BlueKeep, обнаруженных учетных данных и модулей для SSH или SQL.

Обновленная малварь обладает возможностями бэкдора с поддержкой обширного набора команд, включая загрузку и выполнение файлов, поиск файлов в зараженных системах и выполнение программ или команд от имени злоумышленников.

«При желании злоумышленники могут заразить скомпрометированные эндпоинты другими вредоносными программами и сотрудничать с операторами шифровальщиков, продавая им доступ к системам», — предупреждают исследователи.
Нажмите, чтобы раскрыть...

Источник: xakep.ru/2021/04/23/prometei-2/