Malver Skeleton Key kriminalcima otključava korporativne mreže

Opisi virusa, 16.01.2015, 07:35 AM

Malver Skeleton Key kriminalcima otključava korporativne mreže

Istraživači iz Dell Secureworks otkrili su novi malver čiji je cilj da omogući napadačima da izbegnu proveru identiteta na Active Directory (AD) sistemima čija se bezbednost oslanja samo na lozinke, omogućavajući im da koriste bilo koju nasumično izabranu lozinku i da tako obezbede sebi ulaz u mrežu. Malver je nazvan “Skeleton Key”.

Istraživači kažu da su otkrili Skeleton Key na mreži klijenta koji je koristio jednofaktornu autentifikaciju za pristup webmailu i VPN, dajući napadačima neograničeni daljinski pristup servisima.

Oni su analizirali ponašanje malvera i otkrili da se on implementira kao patch u memoriji na žrtvinim AD kontrolerima domena omogućavajući tako napadačima da se identifikuju kao bilo koji korisnik, dok legitimni korisnici mogu da dokazuju identitet kao i obično. Skeleton Key omogućava napadačima sa fizičkim pristupom sistemima da se prijave i otključaju sisteme koji identifikuju korisnike na kompromitovanim AD domen kontrolerima.

Iako je napadaču potreban administratorski pristup mreži, on se može predstavljati kao bilo koji korisnik. Recimo, nezadovoljni radnik ili neko sa lošim namerama može da se predstavlja kao računovođa ili kao direktor i da pristupi važnim podacima o zaposlenima, partnerima ili klijentima, a da pri tom ne izazove nikakvu sumnju. Hakeri sada trguju informacijama, pa je scenario u kome sajber kriminalci podmićuju nekog zaposlenog da im pruži takve podatke, uz pomoć malvera koji će sprečiti da njegove aktivnosti budu otkrivene, veoma realan.

Dobra vest je da je Skeleton Key patch u RAM memoriji koji biva uklonjen svaki put kada se kontroler domena restartuje. Ipak, u ovom slučaju, napadači mogu postaviti trojanca za daljinski pristup koji im omogućava da ponovo postave Skeleton Key svaki put kad on bude uklonjen.

Istraživači smatraju da je Skeleton Key kompatibilan jedino sa 64-bitnim verzijama Windowsa.

Istraživači su otkrili obrazac koji ukazuje da ovi isti napadači koriste Skeleton Key u mrežama nekoliko organizacija.

“Skeleton Key ne šalje mrežni saobraćaj, zbog čega je detekcija bazirana na mreži nedelotvorna”, kažu istraživači. Oni su ponudili YARA potpise za detekciju Skeleton Key DLL i MD5 hasheve za detekciju DLL fajlova malvera.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Novi trojanac ToxicEye koristi aplikaciju Telegram za špijuniranje i krađu podataka korisnika

Novi trojanac ToxicEye koristi aplikaciju Telegram za špijuniranje i krađu podataka korisnika

Sajber kriminalci sve češće zloupotrebljavaju Telegram za kontrolu i upravljanje malverima i krađu informacija sa ciljanih sistema. ToxicEye je no... Dalje

Sajber kriminalci koriste kontakt forme na veb sajtovima za širenje trojanca IcedID

Sajber kriminalci koriste kontakt forme na veb sajtovima za širenje trojanca IcedID

Istraživači iz kompanije Microsoft upozorili su na novu fišing kampanju u kojoj napadači koriste obrasce za kontakt (“Kontaktirajte nas&rdqu... Dalje

Novi malver CopperStealer krade Google, Facebook i Apple naloge

Novi malver CopperStealer krade Google, Facebook i Apple naloge

Istraživači kompanije Proofpoint otkrili su malver koji se distribuira preko sajtova na kojima se nudi nelegalni piratski softver, a koji cilja kori... Dalje

30000 Mac računara inficirano novim malverom Silver Sparrow

30000 Mac računara inficirano novim malverom Silver Sparrow

Novi malver Silver Sparrow inficirao je 30000 Mac računara. Malver su otkrili istraživači iz firme Red Canary koji su ga analizirali zajedno sa ist... Dalje

Otkriven prvi malver koji napada isključivo Appleov novi M1 čip

Otkriven prvi malver koji napada isključivo Appleov novi M1 čip

Bivši istraživač NSA Patrik Vordl otkrio je malver koji je dizajniran za napade na računare sa Appleovim novim M1 čipom, koji se koristi na najno... Dalje