近日，美國(guó)、歐盟和拉美（LATAM）地區(qū)的微軟 SQL（MS SQL）服務(wù)器安全狀況不佳，因而被土耳其黑客盯上，成為了其正在進(jìn)行的以獲取初始訪(fǎng)問(wèn)權(quán)限為目的的金融活動(dòng)的攻擊目標(biāo)。
Securonix 研究人員 Den Iuzvyk、Tim Peck 和 Oleg Kolesnikov 在與《黑客新聞》共享的一份技術(shù)報(bào)告中提到：威脅活動(dòng)一般會(huì)以以下兩種方式結(jié)束：要么是出售被入侵主機(jī)的訪(fǎng)問(wèn)權(quán)，要么是最終交付勒索軟件有效載荷。
Securonix 網(wǎng)絡(luò)安全公司將此次土耳其黑客發(fā)起的攻擊行動(dòng)命名為 "RE#TURGENCE"。此次行動(dòng)與 2023 年 9 月曝光的名為 DB#JAMMER 的活動(dòng)如出一轍。都是先對(duì)服務(wù)器的初始訪(fǎng)問(wèn)需要進(jìn)行暴力破解攻擊，然后使用 xp_cmdshell 配置選項(xiàng)在被入侵主機(jī)上運(yùn)行 shell 命令，以便從遠(yuǎn)程服務(wù)器檢索 PowerShell 腳本打好基礎(chǔ)，然后由該腳本負(fù)責(zé)獲取經(jīng)過(guò)混淆的 Cobalt Strike beacon 有效載荷。最后，黑客會(huì)利用后剝削工具包從掛載的網(wǎng)絡(luò)共享中下載 AnyDesk 遠(yuǎn)程桌面應(yīng)用程序，以訪(fǎng)問(wèn)機(jī)器并下載其他工具，如 Mimikatz 以獲取憑據(jù)，以及高級(jí)端口掃描器以進(jìn)行偵查。
橫向移動(dòng)是通過(guò)一種名為 PsExec 的合法系統(tǒng)管理實(shí)用程序完成的，它可以在遠(yuǎn)程 Windows 主機(jī)上執(zhí)行程序。
該攻擊鏈最終以部署 Mimic 勒索軟件而達(dá)到高潮，DB#JAMMER 活動(dòng)中也使用了該勒索軟件的變種。
Kolesnikov告訴《黑客新聞》："這兩個(gè)活動(dòng)中使用的指標(biāo)和惡意TTP完全不同，因此很有可能是兩個(gè)不同的活動(dòng)。也就是說(shuō)，雖然最初的滲透方法類(lèi)似，但 DB#JAMMER 更復(fù)雜一些，使用了隧道技術(shù)。相比之下RE#TURGENCE 更有針對(duì)性，傾向于使用合法工具以及 AnyDesk 等遠(yuǎn)程監(jiān)控和管理工具，試圖混入正?；顒?dòng)中。
Securonix表示，它發(fā)現(xiàn)了威脅行為者的操作安全（OPSEC）失誤，由于AnyDesk的剪貼板共享功能已啟用，因此它可以監(jiān)控剪貼板活動(dòng)。這樣就有機(jī)會(huì)收集到他們的在線(xiàn)別名 atseverse，該名稱(chēng)還與 Steam 和土耳其一個(gè)名為 SpyHack 的黑客論壇上的個(gè)人資料相對(duì)應(yīng)。
研究人員提醒說(shuō)：一定要避免將關(guān)鍵服務(wù)器直接暴露在互聯(lián)網(wǎng)上。在 RE#TURGENCE 的情況下，攻擊者可以直接從主網(wǎng)絡(luò)外部強(qiáng)行進(jìn)入服務(wù)器。文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-824457.html
參考來(lái)源：Turkish Hackers Exploiting Poorly Secured MS SQL Servers Across the Globe (thehackernews.com)文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-824457.html
到了這里，關(guān)于土耳其黑客向全球MS SQL 服務(wù)器發(fā)起RE#TURGENCE攻擊行動(dòng)的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
