Ba nhóm đe dọa nhắm vào doanh nghiệp Nga bằng backdoor, ransomware và wiper
"Kaspersky reported three threat clusters targeting Russian enterprises: NightEagle, which used compromised VPN credentials, GhostContainer backdoors, and Active Directory abuse including CVE-2019-0708 (BlueKeep) and DCSync techniques; and Hacking Cat, which deployed Gorilla RAT and Monkey ransomware/wiper variants via Exchange vulnerabilities including CVE-2021-26855. The activity focused on persistence, lateral movement, credential theft, and destructive encryption across Windows, Linux, and VMware ESXi environments, with no vendor fix described in the article."
Rủi ro cao do xâm nhập ban đầu qua VPN/Exchange, leo thang đặc quyền và khả năng mã hóa hoặc hủy dữ liệu trên nhiều nền tảng.
Có thể gây gián đoạn dịch vụ, mất dữ liệu và ảnh hưởng khôi phục hệ thống trên Windows, Linux, VMware ESXi.
Theo Kaspersky, các doanh nghiệp tại Nga đang bị nhắm mục tiêu bởi ba cụm hoạt động đe dọa gồm NightEagle, Hacking Cat và Toy Ghouls. Trong đó, NightEagle được ghi nhận sử dụng thông tin xác thực VPN bị chiếm đoạt để xâm nhập, triển khai GhostContainer trên Microsoft Exchange Server, rồi mở rộng quyền và di chuyển ngang trong mạng nội bộ. Nhóm này cũng bị cho là khai thác CVE-2019-0708 (BlueKeep) và thực hiện DCSync để lấy băm mật khẩu và truy cập miền.
Nhóm Hacking Cat chuyển từ phá hoại website sang các chiến dịch mã hóa và hủy hoại dữ liệu. Kaspersky cho biết nhóm này khai thác lỗ hổng trên Exchange như CVE-2021-26855 để phát tán Gorilla RAT và nhiều biến thể Monkey ransomware nhắm vào Windows, Linux và VMware ESXi. Một số biến thể có thể hoạt động như wiper, tức là làm mất dữ liệu mà không còn khả năng khôi phục.
Khuyến nghị cho đội kỹ thuật: vá hệ thống Exchange và Active Directory, kiểm tra tài khoản VPN và đặc quyền quản trị, giám sát dấu hiệu DCSync, lưu ý các kết nối tunnel bất thường và tăng cường sao lưu ngoại tuyến để giảm rủi ro mã hóa hoặc phá hủy dữ liệu.