Útok MalSmoke: Nástroj Atera RMM v ohrožení

20. ledna 2022 | poradní, Blog

Ledna 7th, 2022Společnost CyberHoot prošetřila novou formu malwaru známého jako Malsmoke. Tento malware zneužívá... zranitelnost ve způsobu, jakým Microsoft digitálně podepisuje specifický typ souboru. Společnost Check Point Research, která se zabývá kybernetickými hrozbami, uvádí, že Útok využívá nechvalně známý bankovní malware Zloader aby ukradl přihlašovací údaje k účtu a další soukromá data. Malware již infikoval 2 170 unikátních počítačů, které si škodlivý software stáhly. Atera soubor zapojený do zneužití. Většina obětí je v USA a Kanadě, ale kampaň zasáhla více než 100 dalších zemí, včetně Indie, Německa, Ruska a Velké Británie. CyberHoot se rozhodl sdílet toto upozornění s našimi administrátory za účelem informování.

Kritické riziko Atera RMM

Pro většinu poskytovatelů spravovaných služeb existuje jen velmi malé riziko spojené s Atera RMM. Tři velká řešení RMM – Connectwise, Datto a Kaseya – touto zranitelností ohrožena nejsou. Nicméně je vždy užitečné vědět více o tom, co hackeři chystají, takže čtěte dál.

Společnost Check Point uvedla, že kampaň, poprvé spatřená začátkem listopadu 2021, používá legitimní software pro vzdálenou správu k přístupu k cílovému počítači. Odtud útočníci zneužívají metodu ověřování digitálního podpisu společnosti Microsoft k vložení škodlivého obsahu do podepsaného souboru DLL systému Windows, aby obešli bezpečnostní obranu.

Konkrétně kampaň začíná instalací Software pro vzdálené monitorování a správu Atera na cílovém počítači. Produkt společnosti Atera, legitimní nástroj pro vzdálený útok používaný IT profesionály, nabízí novým uživatelům 30denní zkušební verzi zdarma, což je možnost, kterou útočníci pravděpodobně využívají k získání počátečního přístupu. Po instalaci produktu mají operátoři plnou kontrolu nad systémem, mohou spouštět skripty a nahrávat nebo stahovat soubory.

Co bych měl dělat?

Abychom vám pomohli chránit sebe a svou organizaci před tímto konkrétním zneužitím, Check Point vám doporučuje použít Aktualizace od Microsoftu pro přísné ověřování Authenticode.

Pro MSP používající Datto RMM nabízí monitor pro kontrolu přítomnosti tohoto agenta. Komponenta (Atera Agent Monitor/Uninstaller [WIN]) je k dispozici v ComStore a lze ji okamžitě nasadit.