MalSmoke-angrep: Atera RMM-verktøy i fare

20. januar 2022 | Rådgivning, Blogg

Januar 7th, 2022CyberHoot har undersøkt en ny form for skadelig programvare kjent som Malsmoke. Denne skadelige programvaren utnytter en sårbarhet på den måten Microsoft digitalt signerer en bestemt filtype. Cybertrusseletterretningsfirmaet Check Point Research sier at angrepet bruker den beryktede bankskadevaren Zloader å stjele kontoinformasjon og andre private data. Skadevaren har allerede infisert 2,170 unike maskiner som lastet ned den skadelige programvaren Atera fil involvert i angrepet. De fleste ofrene er i USA og Canada, men kampanjen har rammet mer enn 100 andre land, inkludert India, Tyskland, Russland og Storbritannia. CyberHoot bestemte seg for å dele denne meldingen med administratorene våre for å øke bevisstheten.

Atera RMM kritisk risiko

For de fleste leverandører av administrerte tjenester der ute, er det svært liten risiko for Atera RMM. De tre store RMM-løsningene – Connectwise, Datto og Kaseya, er ikke utsatt for denne sårbarheten. Når det er sagt, er det alltid nyttig å vite mer om hva hackere driver med, så les videre.

Check Point sa at kampanjen, som først ble observert tidlig i november 2021, bruker legitim programvare for fjernadministrasjon for å få tilgang til målmaskinen. Derfra utnytter angriperne Microsofts metode for verifisering av digitale signaturer for å injisere den ondsinnede nyttelasten sin i en signert Windows DLL-fil for å omgå sikkerhetsforsvar.

Kampanjen starter spesifikt med å installere Atera-programvaren for fjernovervåking og -administrasjon på en målmaskin. Ateras produkt er et legitimt fjernverktøy som brukes av IT-fagfolk, og tilbyr en gratis 30-dagers prøveperiode for nye brukere, et alternativ angriperne sannsynligvis bruker for å få første tilgang. Når produktet er installert, har operatørene full kontroll over systemet for å kjøre skript og laste opp eller laste ned filer.

Hva burde jeg gjøre?

For å beskytte deg selv og organisasjonen din mot denne spesifikke utnyttelsen, anbefaler Check Point at du installerer Microsofts oppdatering for streng Authenticode-verifisering.

For MSP-er som bruker Datto RMM, tilbyr de en overvåker for å sjekke om denne agenten er tilstede. Komponenten (Atera Agent Monitor/Uninstaller [WIN]) er tilgjengelig i ComStore og kan distribueres umiddelbart.