Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) và Cục Điều tra Liên bang (FBI) đã đưa ra một cảnh báo cố vấn chung rằng các kẻ đe dọa do Nga hậu thuẫn đã tấn công mạng của một tổ chức phi chính phủ giấu tên bằng cách khai thác kết hợp các lỗ hổng.
“Ngay từ tháng 5 năm 2021, các tổ chức mạng do nhà nước Nga bảo trợ đã lợi dụng tài khoản bị định cấu hình sai được đặt thành mặc định [multi-factor authentication] các giao thức tại một tổ chức phi chính phủ (NGO), cho phép họ đăng ký một thiết bị mới cho MFA và truy cập vào mạng nạn nhân “, các cơ quan này cho biết.
“Các tác nhân sau đó đã khai thác một lỗ hổng nghiêm trọng của Windows Print Spooler, ‘PrintNightmare' (CVE-2021-34527) để chạy mã tùy ý với các đặc quyền của hệ thống.”
Cuộc tấn công đã được kết thúc bằng cách giành được quyền truy cập ban đầu vào tổ chức nạn nhân thông qua thông tin đăng nhập bị xâm phạm – có được bằng một cuộc tấn công đoán mật khẩu bạo lực – và đăng ký một thiết bị mới trong Duo MFA của tổ chức.
Cũng cần lưu ý rằng tài khoản vi phạm đã được hủy đăng ký Duo do một thời gian dài không hoạt động, nhưng vẫn chưa bị vô hiệu hóa trong Active Directory của tổ chức phi chính phủ, do đó cho phép những kẻ tấn công nâng cao đặc quyền của họ bằng cách sử dụng lỗ hổng PrintNightmare và vô hiệu hóa dịch vụ MFA hoàn toàn.
Các cơ quan giải thích: “Do cài đặt cấu hình mặc định của Duo cho phép đăng ký lại thiết bị mới cho tài khoản không hoạt động, nên các diễn viên có thể đăng ký thiết bị mới cho tài khoản này, hoàn thành các yêu cầu xác thực và có quyền truy cập vào mạng nạn nhân” .
Đến lượt nó, việc tắt MFA cho phép các tác nhân do nhà nước tài trợ xác thực với mạng riêng ảo (VPN) của NGO với tư cách là người dùng không phải là quản trị viên, kết nối với bộ điều khiển miền Windows qua Giao thức Máy tính Từ xa (RDP) và lấy thông tin đăng nhập cho các tài khoản miền khác .
Trong giai đoạn cuối của cuộc tấn công, các tài khoản mới bị xâm nhập sau đó đã được sử dụng để di chuyển ngang qua mạng nhằm lấy dữ liệu từ các tài khoản email và lưu trữ đám mây của tổ chức.
Để giảm thiểu các cuộc tấn công như vậy, cả CISA và FBI đều khuyến nghị các tổ chức thực thi và xem xét các chính sách cấu hình xác thực đa yếu tố, vô hiệu hóa các tài khoản không hoạt động trong Active Directory và ưu tiên vá các lỗi đã khai thác.
.
