Các tổ chức được nhà nước Iran bảo trợ không để xảy ra tình trạng khai thác các hệ thống chưa được vá lỗi đang chạy Log4j để nhắm mục tiêu vào các thực thể của Israel, cho thấy lỗ hổng lâu dài cần được khắc phục.
Microsoft quy kết nhóm hoạt động mới nhất cho nhóm mối đe dọa ô nhiễm được theo dõi là MuddyWater (hay còn gọi là Cobalt Ulster, Mercury, Seedworm hoặc Static Kitten), có liên quan đến bộ máy tình báo Iran, Bộ Tình báo và An ninh (MOIS).
Các cuộc tấn công đáng chú ý là sử dụng các phiên bản Máy chủ SysAid không được bảo mật chống lại lỗ hổng Log4Shell làm véc tơ cho quyền truy cập ban đầu, đánh dấu sự rời bỏ mô hình của các tác nhân là tận dụng các ứng dụng VMware để vi phạm môi trường mục tiêu.
“Sau khi có được quyền truy cập, Mercury thiết lập sự bền bỉ, hủy bỏ thông tin đăng nhập và di chuyển theo bên trong tổ chức được nhắm mục tiêu bằng cách sử dụng cả các công cụ hack tùy chỉnh và nổi tiếng, cũng như các công cụ hệ điều hành tích hợp sẵn cho cuộc tấn công bàn phím”, Microsoft cho biết .
Nhóm tình báo về mối đe dọa của gã khổng lồ công nghệ cho biết họ đã quan sát thấy các cuộc tấn công trong khoảng thời gian từ ngày 23 đến ngày 25 tháng 7 năm 2022.
Một thỏa hiệp thành công được cho là đã xảy ra sau khi triển khai web shell để thực hiện các lệnh cho phép tác nhân tiến hành do thám, thiết lập tính bền bỉ, đánh cắp thông tin đăng nhập và tạo điều kiện cho việc di chuyển bên.
Cũng được sử dụng để giao tiếp lệnh và điều khiển (C2) trong các cuộc xâm nhập là một phần mềm quản lý và giám sát từ xa có tên eHorus và Ligolo, một công cụ đào hầm ngược được lựa chọn cho kẻ thù.
Phát hiện này được đưa ra khi Ban Đánh giá An toàn Mạng của Bộ An ninh Nội địa Hoa Kỳ (CSRB) coi lỗ hổng nghiêm trọng trong khung ghi nhật ký dựa trên Java mã nguồn mở là một điểm yếu phổ biến sẽ tiếp tục gây hại cho các tổ chức trong nhiều năm tới khi hoạt động khai thác phát triển.
Việc Log4j được sử dụng rộng rãi trên nhiều phần mềm và dịch vụ của nhiều nhà cung cấp có nghĩa là những kẻ thù tinh vi như các tổ chức quốc gia-nhà nước và các nhà khai thác hàng hóa cũng có cơ hội lợi dụng lỗ hổng để gây ra một loạt các cuộc tấn công.
Các cuộc tấn công Log4Shell cũng diễn ra theo một báo cáo gần đây của Mandiant nêu chi tiết một chiến dịch gián điệp nhằm vào các tổ chức vận chuyển, chính phủ, năng lượng và chăm sóc sức khỏe của Israel bởi một nhóm hack có khả năng là UNC3890 của Iran.
.
