Mimic勒索软件攻击全球微软SQL服务器

安全 应用安全
近日,Securonix威胁研究团队发现,一群出于经济动机的土耳其黑客正在攻击全球范围内的微软SQL(MSSQL)服务器,并使用Mimic(N3ww4v3)勒索软件加密受害者的文件。

近日,Securonix威胁研究团队发现,一群出于经济动机的土耳其黑客正在攻击全球范围内的微软SQL(MSSQL)服务器,并使用Mimic(N3ww4v3)勒索软件加密受害者的文件。

这些正在进行的攻击代号为RE#TURGENCE,主要针对欧盟、美国和拉丁美洲的目标。

发现该活动的Securonix威胁研究团队表示:“分析显示,此类攻击活动的结束方式主要有两种:要么出售受感染主机的访问权,要么最终交付勒索软件有效负载。”

“从初始访问到部署Mimic勒索软件,事件发生的时间周期大约为一个月。”

针对目标:配置不安全的微软SQL服务器

据报道,攻击者主要通过暴力攻击入侵在线暴露的,配置不安全的MSSQL数据库服务器。然后使用系统存储的xp_cmdshell进程生成一个与SQL Server服务帐户具有相同安全权限的Windows命令shell。

xp_cmdshell默认处于禁用状态,因为恶意行为者经常使用它来提升权限,而且启动该进程通常会触发安全审核工具。

在下一阶段,攻击者使用一系列PowerShell脚本和内存反射技术部署高度混淆的CobaltStrike有效负载,最终目标是将其注入到Windows原生进程SndVol.exe中。

攻击者还下载并启动AnyDesk远程桌面应用程序作为服务,然后开始收集使用Mimikatz提取的明文凭据。

使用高级端口扫描程序扫描本地网络和Windows域后,攻击将蔓延到网络上的其他设备,并使用之前窃取的凭据入侵域控制器。

通过AnyDesk投放勒索软件

然后,攻击者通过AnyDesk将Mimic勒索软件有效载荷部署为自解压存档,使用合法的Everything应用程序搜索要加密的文件,该技术于2023年1月首次被安全人员观察到。

“Mimic将删除用于辅助加密过程的Everything二进制文件。在我们的案例中,Mimic投放程序‘red25.exe’删除了所有必要的文件,以便主要勒索软件有效负载能完成其目标,”Securonix表示。

“加密过程完成后,red.exe进程会发送加密/付款通知,该通知以“—IMPORTANT—NOTICE—.txt”的文本格式保存在受害者的C盘上。”

安全媒体BleepingComputer发现,Mimic勒索软件通知中使用的电子邮件(datenklause0@gmail.com)与Phobos勒索软件存在关联。Phobos于2018年首次出现,是源自Crysis勒索软件家族的勒索软件即服务(RaaS)。

Securonix去年还曝光了另一个针对MSSQL服务器的活动(跟踪代号为DB#JAMMER),使用相同的暴力初始访问攻击并部署FreeWorld勒索软件(Mimic勒索软件的别名)。

责任编辑:华轩 来源: GoUpSec
相关推荐

2023-02-06 17:41:24

2022-02-27 12:46:17

勒索软件黑客网络攻击

2022-05-26 11:06:33

加密勒索软件网络攻击

2023-01-05 11:40:57

2022-08-09 08:22:00

勒索软件WindowsLinux

2021-12-10 09:29:58

微软勒索软件攻击

2021-03-29 10:38:36

勒索软件微软攻击

2023-01-05 09:15:40

2021-05-21 10:10:26

勒索软件勒索赎金网络攻击

2021-05-19 10:13:17

勒索软件勒索赎金网络攻击

2024-04-29 11:37:33

2022-11-16 09:47:39

2021-12-28 15:22:52

勒索软件攻击网络安全

2023-02-20 14:46:55

2020-11-25 15:44:02

网络安全数字化转型工具

2023-11-15 14:00:23

2021-03-18 09:31:56

微软Exchange攻击

2021-05-18 17:41:22

勒索软件攻击数据泄露

2021-06-17 13:38:00

勒索软件网络攻击数据泄露

2021-02-26 09:45:48

恶意软件黑客网络攻击
点赞
收藏

51CTO技术栈公众号