CISA получила 14 образцов вредоносных программ, состоящих из полезных нагрузок эксплойтов Barracuda и бэкдоров reverse shell. Вредоносные программы использовались угрожающими субъектами, эксплуатирующими CVE-2023-2868, бывшую уязвимость нулевого дня, затрагивающую версии 5.1.3.001-9.2.0.006 шлюза Barracuda Email Security Gateway (ESG).
Полезная нагрузка инициирует инъекцию команд (эксплуатация CVE-2023-2868), что приводит к сбросу и выполнению обратных оболочек на устройстве ESG. Обратные оболочки устанавливают бэкдор-соединения через OpenSSL с командно-контрольными (C2) серверами угрожающих субъектов. Полезная нагрузка передавалась жертве через фишинговое письмо с вредоносным вложением в формате .tar.
Indicators of Compromise
IPv4
- 107.148.219.54
- 107.148.223.196
SHA256
- 0b917d945a7491869fa5003f6b85c09f5f45795a7852a8b63ba1abdc9797d6a6
- 2a5de691243f2b91f164c3021c157fbd783b4f3e7d5f5950182e52ec868cd40b
- 2a860849a9e68df0053556b85f20010a1384b4c87594ba4f9bb3e1b1d287b095
- 2b2b7c5e825b7a18e13319b4a1275a0dd0086abd58b2d45939269d5a613a41e7
- 3f2ca19ad3635f379968b0302c7e42cf954f85ab61166c6f70acfebc72f38ab7
- 80342108e9f0f1fd6b5c44e88006cebe37e4eccb3a0f567636b22ad210c0a043
- 949d4b01f31256e5e9c2b04e557dcca0a25fc2f6aa3618936befc7525e1df788
- 9d0c7a45dd00d31a9724fa9e96cb8ac99dd5a6502fe4515cedaabb2e58b1c5f5
- b5113e29ec23f6e1be289b99dc7ac2af1c252b4b6ff6e977f7827ab7fd686321
- b52a9844d8368abe70b6ba0d8df84f88c8c0029dcbcf599665acd703b255d5d2
- caa795c4c934219d287379b20c2912af0f815de95bb73e0f02f5fe6eb9aa50bd
- cf0996a3aee148bc060f4726435dd0d7f1af79082277f407dfa07d81181322ba
- f289b565839794fe4f450ed0c9343b8fb699f97544d9af2a60851abc8b4656e0
- f536a7b75b7205762b75a037ebf6503029aab1a02afab14b2709797c32e7e0fa