热门搜索词

抗D保 IPv6 报告 CN2 功能 入侵 漏洞 DDoS 攻击

热门文章

关注知道创宇云防御

获取最新安全动态

以色列Clearsky曝光遭LC黑客入侵的250多台电信企业服务器

来源:cnBeta.COM 2021.02.01

ZDNet 报道称,以色列网络安全公司 Clearsky 宣称发现了 254 台服务器被 Lebanese Cedar 黑客入侵,推测该组织幕后与真主党武装有难以明说的联系。此前已有许多爆料称,Lebanses Cedar 与发生在英美、中东等多地的电信运营商 / 互联网服务提供商入侵事件有关。而 Clearsky 的调查发现,新一轮攻击可追溯到 2020 年初。

攻击流程示意(图自:Clearsky)

在今日发布的一份报告中,Clearsky 宣称发现了至少 250 台被 LC 黑客入侵的服务器:

这些攻击似乎旨在收集相关情报,窃取包含敏感数据的企业数据库。对于电信企业来说,LC 黑客显然也对包含通话记录 / 客户私人信息的数据库有浓厚的兴趣。

网络安全研究人员指出,LC 黑客似乎遵循着一种简单的模式:

他们会先用开源的黑客扫描工具对运营商展开互联网扫描,以查找未打补丁的 Atlassian 和 Oracle 服务器。然后利用相关漏洞方法来访问服务器并植入 Web Shell,以便其将来访问。

在完成上述准备工作之后,LC 黑客会利用暗中部署的 Web Shell 对目标企业的内网展开攻击,并从中窃取私密文档。

具体说来是,LC 黑客使用 CVE-2019-3396 漏洞攻击了 Atlassian Confluence、利用 CVE-2019-11581 漏洞侵入了 Atlassian Jira、以及借助 CVE-2012-3152 漏洞攻破了 Oracle Fusion 。

 

已知 LC 黑客攻击事件受害者列表(来自:PDF)

 

一旦获得了对这些系统的访问权限,攻击者就会部署 ASPXSpy、Caterpillar 2、Mamad Warning 之类的 Web Shell,以及名为 JSP 的开源文件浏览器(同样可充当 Web Shell)。接着在目标企业的内部网络上,攻击者会部署功能更加强大的 Explosive 远程访问木马(RAT),以实施进一步的数据渗透(之前用过的老套路)。

Clearsky 指出,之所以将 LC 黑客攻击事件与真主党武装有关,是因为截至目前,这款 RAT 工具一直被它们所专门使用。与此同时,网络安全研究人员也指出了 LC 黑客犯下的某些失误,比如经常在入侵过程中使用同样的文件,使得外界可以对该组织的活动轨迹展开更好的追溯。

目前已知的 LC 黑客事件受害者,包括了埃及的沃达丰、阿联酋航空、沙特 SaudiNet 电信公司、以及美国的 Frontier Communications 等企业。