这些正在进行的攻击代号为RE#TURGENCE,主要针对欧盟、美国和拉丁美洲的目标。
发现该活动的Securonix威胁研究团队表示:“分析显示,此类攻击活动的结束方式主要有两种:要么出售受感染主机的访问权,要么最终交付勒索软件有效负载。”
“从初始访问到部署Mimic勒索软件,事件发生的时间周期大约为一个月。”
针对目标:配置不安全的微软SQL服务器
据报道,攻击者主要通过暴力攻击入侵在线暴露的,配置不安全的MSSQL数据库服务器。然后使用系统存储的xp_cmdshell进程生成一个与SQL Server服务帐户具有相同安全权限的Windows命令shell。
xp_cmdshell默认处于禁用状态,因为恶意行为者经常使用它来提升权限,而且启动该进程通常会触发安全审核工具。
在下一阶段,攻击者使用一系列PowerShell脚本和内存反射技术部署高度混淆的CobaltStrike有效负载,最终目标是将其注入到Windows原生进程SndVol.exe中。
攻击者还下载并启动AnyDesk远程桌面应用程序作为服务,然后开始收集使用Mimikatz提取的明文凭据。
使用高级端口扫描程序扫描本地网络和Windows域后,攻击将蔓延到网络上的其他设备,并使用之前窃取的凭据入侵域控制器。
通过AnyDesk投放勒索软件
然后,攻击者通过AnyDesk将Mimic勒索软件有效载荷部署为自解压存档,使用合法的Everything应用程序搜索要加密的文件,该技术于2023年1月首次被安全人员观察到。
“Mimic将删除用于辅助加密过程的Everything二进制文件。在我们的案例中,Mimic投放程序‘red25.exe’删除了所有必要的文件,以便主要勒索软件有效负载能完成其目标,”Securonix表示。
“加密过程完成后,red.exe进程会发送加密/付款通知,该通知以“—IMPORTANT—NOTICE—.txt”的文本格式保存在受害者的C盘上。”
安全媒体BleepingComputer发现,Mimic勒索软件通知中使用的电子邮件(datenklause0@gmail.com)与Phobos勒索软件存在关联。Phobos于2018年首次出现,是源自Crysis勒索软件家族的勒索软件即服务(RaaS)。
Securonix去年还曝光了另一个针对MSSQL服务器的活动(跟踪代号为DB#JAMMER),使用相同的暴力初始访问攻击并部署FreeWorld勒索软件(Mimic勒索软件的别名)。