Los actores patrocinados por el estado iraní no están dejando piedra sin remover para explotar los sistemas sin parches que ejecutan Log4j para apuntar a las entidades israelíes, lo que indica la larga cola de la vulnerabilidad para la remediación.
Microsoft atribuyó el último conjunto de actividades al grupo de amenazas paraguas rastreado como MuddyWater (también conocido como Cobalt Ulster, Mercury, Seedworm o Static Kitten), que está vinculado al aparato de inteligencia iraní, el Ministerio de Inteligencia y Seguridad (MOIS).
Los ataques se destacan por el uso de instancias de SysAid Server no protegidas contra la falla de Log4Shell como vector para el acceso inicial, lo que marca una desviación del patrón de los actores de aprovechar las aplicaciones de VMware para violar los entornos de destino.
«Después de obtener acceso, Mercury establece persistencia, descarga credenciales y se mueve lateralmente dentro de la organización objetivo utilizando herramientas de piratería conocidas y personalizadas, así como herramientas integradas del sistema operativo para su ataque práctico con el teclado», Microsoft dijo.
El equipo de inteligencia de amenazas del gigante tecnológico dijo que observó los ataques entre el 23 y el 25 de julio de 2022.
Se dice que un compromiso exitoso fue seguido por el despliegue de web shells para ejecutar comandos que permiten al actor realizar reconocimiento, establecer persistencia, robar credenciales y facilitar el movimiento lateral.
También se emplea para la comunicación de comando y control (C2) durante las intrusiones un software de administración y monitoreo remoto llamado eHorus y Ligolo, una herramienta de tunelización inversa elegida por el adversario.
Los hallazgos se producen cuando la Junta de Revisión de Seguridad Cibernética (CSRB) del Departamento de Seguridad Nacional de EE. UU. considerado La vulnerabilidad crítica en el marco de registro de código abierto basado en Java es una debilidad endémica que seguirá afectando a las organizaciones durante los próximos años a medida que evolucione la explotación.
Log4j amplio uso a través del software y los servicios de muchos proveedores significa que adversarios sofisticados, como actores de estados nacionales y operadores de productos básicos, se han aprovechado de manera oportunista de la vulnerabilidad para montar una mezcla heterogénea de ataques.
Los ataques de Log4Shell también siguen a un informe reciente de Mandiant que detalla una campaña de espionaje dirigida a organizaciones israelíes de transporte, gobierno, energía y atención médica por parte de un probable grupo de piratería iraní denominado UNC3890.