Компания Starlight Intelligence, специализирующаяся на анализе киберугроз, выпустила экстренное предупреждение о новых активностях злоумышленников, направленных против организаций в США, Сингапуре и Китае. Согласно данным, полученным от системы Starlight-CTI, в различных регионах мира наблюдаются distinct (различные) векторы атак, использующие как известные уязвимости, так и классические методы сканирования и проникновения.
Описание
В Соединенных Штатах зафиксирована активность, связанная с трафиком Back Orifice - классического инструмента удаленного администрирования, который часто используется злоумышленниками для получения контроля над системами. Также отмечено использование ZGrab Scanner - инструмента для сбора информации о сетевых службах, что позволяет attackers (злоумышленникам) изучать потенциальные цели. Кроме того, используется уязвимость Insecure Deserialization в XStream Library ReflectionConverter, которая может привести к выполнению произвольного кода.
В Сингапуре наблюдаются атаки, эксплуатирующие уязвимость PHPUnit, а именно Remote Code Execution через eval-stdin в PHP, что позволяет выполнять код на сервере. Также обнаружены активность веб-шелла ALFA TEaM и раскрытие информации через PHPINFO в Invision Board, что может привести к утечке конфиденциальных данных.
В Китае зафиксированы попытки использования уязвимости в NETGEAR DGN1000, позволяющей проводить Unauthenticated Remote Code Execution через CGI, а также Path Traversal в Apache HTTP Server через cgi-bin, что может дать доступ к файлам за пределами корневой директории. Дополнительно отмечается активность Traceroute - возможно, для разведки сетевой инфраструктуры.
Starlight Intelligence рекомендует немедленно заблокировать все исходные IP-адреса, указанные в отчете, на периметре сети - с помощью межсетевых экранов, систем IDS/IPS (обнаружения и предотвращения вторжений) и WAF (веб-приложений). Это позволит предотвратить потенциальные инциденты и минимизировать риски для инфраструктуры.
Эксперты напоминают о важности проактивных мер защиты, включая регулярное обновление программного обеспечения, мониторинг сетевой активности и обучение персонала. В условиях растущего числа киберугроз своевременное получение и применение разведданных становится критически важным для обеспечения безопасности организаций любого масштаба.
Индикаторы компрометации
IPv4
- 1.95.60.111
- 101.126.139.40
- 102.212.40.116
- 103.110.16.61
- 103.157.52.42
- 103.208.230.27
- 103.27.105.90
- 104.23.190.80
- 104.248.158.248
- 107.170.58.132
- 107.175.209.254
- 108.162.241.19
- 111.160.125.234
- 111.247.1.139
- 111.53.87.28
- 113.254.193.180
- 116.47.238.46
- 117.206.110.166
- 117.206.186.219
- 117.209.80.62
- 117.213.127.116
- 118.101.169.91
- 119.56.250.36
- 119.73.98.138
- 120.85.116.128
- 121.155.79.102
- 13.58.99.87
- 143.58.100.4
- 146.190.90.58
- 146.190.94.251
- 151.255.15.46
- 157.15.67.131
- 162.158.158.64
- 165.227.38.1
- 165.232.67.8
- 167.172.178.122
- 167.71.205.226
- 167.94.138.183
- 170.64.167.235
- 171.224.180.189
- 171.80.11.160
- 172.236.138.143
- 172.68.229.180
- 172.69.58.251
- 172.69.59.137
- 172.69.59.228
- 172.70.100.159
- 172.70.127.192
- 172.70.230.116
- 172.70.50.2
- 172.70.50.3
- 172.71.254.31
- 172.71.81.187
- 175.192.155.213
- 18.117.147.30
- 18.117.226.58
- 18.143.202.112
- 18.143.202.212
- 18.223.156.74
- 182.230.24.171
- 185.238.231.70
- 185.50.38.233
- 188.166.244.68
- 192.227.137.12
- 195.184.76.248
- 203.152.216.16
- 207.90.244.25
- 207.90.244.27
- 219.100.163.128
- 220.135.45.253
- 220.85.152.15
- 222.142.192.212
- 24.199.104.156
- 27.43.204.176
- 27.47.1.252
- 3.137.195.190
- 3.140.238.126
- 3.26.100.192
- 39.34.25.122
- 40.112.199.70
- 43.252.231.122
- 45.156.129.118
- 48.214.144.79
- 52.233.82.117
- 59.126.66.12
- 59.89.65.180
- 60.215.13.254
- 61.76.60.80
- 68.183.164.143
- 74.249.177.110
- 78.153.140.30
- 85.203.21.176
- 85.203.21.178
- 85.203.21.207
- 85.203.21.228
- 85.203.21.41
- 85.203.21.57
- 89.28.252.22
- 91.196.152.130
- 91.234.39.60