Aanvallers achter Petya-ransomware hebben inloggegevens van beheerder gestolen
De aanvallers achter de aanval met de Petya-ransomware hebben misbruik gemaakt van de inloggegevens van een beheerder van M.E.Doc. Dit gaf hen de mogelijkheid toegang tot een server van M.E.Docs en de mogelijkheid de ransomware te verspreiden naar klanten van M.E.Doc.
Dit meldt de Talos Security Intelligence and Research Group, de cyber threat intelligence divisie van Cisco. Talos heeft van M.E.Doc toegang gekregen tot de logbestanden en code van de server waarmee de ransomware verspreid blijkt te zijn. “Een onbekende actor heeft de inloggegevens van een beheerder bij M.E.Doc gestolen. Zij logde in op de servers, verkregen rootrechten en hebben het configuratiebestand voor de NGINX webservers aangepast. We zijn niet in staat geweest het nginx.conf bestand te herstellen, aangezien het is overschreven. Additionele logbestanden waren van belang om te begrijpen wat is gewijzigd”, schrijft Talos in een blogpost.
Verkeer omleiden naar malafide server
De NGINX server was volgens Talos geherconfigureerd zodat al het verkeer naar upd.me-doc.com.ua werd omgeleid naar een server die onder beheer stond van de aanvallers. Het gaat hierbij om een host in de OVH IP-space met het IP-adres 176.31.182.167. Vervolgonderzoek toonde aan dat deze server werd beheerd door een reseller, thcservers.com, en dat de server diezelfde dag om 7:46 PM UTC werd gewist”, meldt Talos.
Na de aanval zijn de wijzigingen in het configuratiebestand van de webserver van M.E.Doc ongedaan gemaakt. Logbestanden tonen aan dat de ransomware gedurende drie uur en twintig minuten naar klanten van M.E.Doc is verspreid. Hiervoor is gebruik gemaakt van een backdoor die aanwezig was in verschillende updates van M.E.Doc.
Supply-chain aanval
Talos stelt dat het gaat om een ‘supply-chain aanval’. Hierbij worden grote organisaties niet direct aangevallen, maar via vertrouwde hardware of software leveranciers. Talos waarschuwt bedrijven van iedere omvang en uit iedere geografische regio extra alert te zijn op dit soort aanvallen.
Dossiers
Meer over
Lees ook
FixMeStick helpt consumenten hardnekkig malware zelfstandig te verwijderen
FixMeStick introduceert de gelijknamige oplossing, een USB-stick die virussen en malware detecteert en verwijderd. Eenvoud en gebruiksgemak staat bij de USB-stick centraal. De FixMeStick draait op zijn eigen besturingssysteem en kan hierdoor ook virussen verwijderen die de master boot record aantasten. Zodra het eigen besturingssysteem is opgestar1
Nieuwe Amerikaanse overheidsdienst moet informatiedeling van cyberdreigingen optimaliseren
Een nieuwe overheidsdienst gaat zich in de Verenigde Staten specifiek richten op digitale dreigingen. De dienst wordt tussen andere overheidsdiensten waaronder inlichtingendiensten geplaatst en moet gaan zorgen dat informatie optimaal wordt gedeeld. Dit moet helpen cyberdreigingen eerder te identificeren. De nieuwe dienst heet het Cyber Threat Int1