A empresa MITRE revelou que o ataque cibernético direcionado à empresa sem fins lucrativos no final de dezembro de 2023, explorando falhas zero-day no Ivanti Connect Secure (ICS), envolveu o ator criando máquinas virtuais (VMs) falsas em seu ambiente VMware.
“O adversário criou suas próprias VMs falsas dentro do ambiente VMware, aproveitando o acesso comprometido ao vCenter Server,” disseram os pesquisadores da MITRE Lex Crumpton e Charles Clancy.
“A pessoa escreveu e implantou um shell web JSP (BEEFLUSH) sob o servidor Tomcat do vCenter Server para executar uma ferramenta de tunneling baseada em Python, facilitando conexões SSH entre as VMs criadas pelo adversário e a infraestrutura do hipervisor ESXi.”
O motivo por trás dessa ação é evitar a detecção obscurecendo suas atividades maliciosas das interfaces de gerenciamento centralizadas como o vCenter e manter acesso persistente reduzindo o risco de ser descoberto.
Detalhes do ataque surgiram no mês passado, quando a MITRE revelou que o ator de ameaça com conexão na China – rastreado pela Mandiant, de propriedade do Google, sob o nome UNC5221 – invadiu seu Ambiente de Experimentação, Pesquisa e Virtualização em Rede (NERVE) ao explorar duas falhas do ICS CVE-2023-46805 e CVE-2024-21887.
Após burlar a autenticação multifator e obter um ponto de apoio inicial, o adversário se moveu lateralmente pela rede e alavancou uma conta de administrador comprometida para assumir o controle da infraestrutura do VMware para implantar vários backdoors e shells web para manter acesso e colher credenciais.
Isso consistia em um backdoor baseado em Golang chamado BRICKSTORM presente nas VMs falsas e dois shells web chamados BEEFLUSH e BUSHWALK, permitindo ao UNC5221 executar comandos arbitrários e se comunicar com servidores de controle e comando e controle.
“O adversário também usou uma conta padrão do VMware, VPXUSER, para fazer sete chamadas de API que enumeraram uma lista de unidades montadas e desmontadas,” disse a MITRE.
“As VMs falsas operam fora dos processos de gerenciamento padrão e não seguem as políticas de segurança estabelecidas, tornando-as difíceis de detectar e gerenciar apenas através da GUI. Em vez disso, é necessário ferramentas ou técnicas especiais para identificar e mitigar efetivamente os riscos associados às VMs falsas.”
Uma medida eficaz contra os esforços furtivos dos atores de ameaça de contornar a detecção e manter acesso é habilitar a inicialização segura, que impede modificações não autorizadas verificando a integridade do processo de inicialização.
A empresa disse também que está disponibilizando dois scripts do PowerShell chamados Invoke-HiddenVMQuery e VirtualGHOST para ajudar a identificar e mitigar ameaças potenciais dentro do ambiente VMware.
“À medida que os adversários continuam a evoluir suas táticas e técnicas, é imperativo que as organizações permaneçam vigilantes e adaptáveis na defesa contra ameaças cibernéticas,” disse a MITRE.
