Продвинутая атака через электронную почту нацелена на организации по всему миру, угрожая кражей хешей NTLM
- Киберугроза TA577 похищает хеши NTLM у организаций через поддельные письма.
- Вредоносное ПО отсутствует, но злоумышленники извлекают пары вызов/ответ NTLMv2 из подключений к серверам SMB.
- Защититесь, заблокировав исходящие подключения SMB и усилив меры кибербезопасности.
Сложная киберугроза, идентифицированная как TA577, инициировала новую волну электронных атак, направленных на проникновение в компьютерные системы и сети множества организаций по всему миру. Эта скрытая операция, тщательно спланированная с целью кражи хешей NTLM — закодированных паролей, критически важных для аутентификации пользователей в средах Windows, представляет серьезную угрозу безопасности. Недавние открытия экспертов кибербезопасности пролили свет на тонкости этой угрозы, призывая организации незамедлительно укрепить свою защиту.
Обнаружена атака на основе электронной почты
Метод работы TA577 включает развертывание почтовых вложений с ловушками, хитро замаскированных под ответы на предыдущие переписки. Когда не подозревающие жертвы открывают эти вложения, разворачивается цепочка событий, приводящая к попытке подключения к внешнему серверу протокола SMB (Server Message Block). Хотя эти вложения не содержат традиционного вредоносного ПО, этот трюк искусно извлекает пары вызовов/ответов NTLMv2, что позволяет с пугающей эффективностью получать хеши NTLM.
Последствия кражи хешей NTLM выходят далеко за рамки компрометации отдельных паролей. Исследователи Proofpoint подчеркивают потенциальное использование этих данных для взлома паролей или облегчения коварных атак «Pass-The-Hash», позволяющих осуществлять латеральное перемещение в скомпрометированных средах. Кроме того, украденная информация, включая имена компьютеров, данные домена и имена пользователей, дает злоумышленникам полное понимание структуры целевых организаций, направляя их последующие злонамеренные действия.
Срочный призыв к действию
Учитывая склонность TA577 к быстрому адаптации и развертыванию новых тактик, организациям настоятельно рекомендуется немедленно укрепить свой статус в области кибербезопасности. Лаборатория угроз Varonis подчеркивает необходимость упреждающих мер, рекомендуя блокировать исходящие подключения SMB, чтобы предотвратить потенциальные нарушения. Несмотря на бесполезность отключения гостевого доступа к SMB, проактивные стратегии смягчения остаются незаменимыми для защиты от развивающихся киберугроз.
Тактики проникновения, используемые TA577, подчеркивают постоянную эволюцию киберугроз и критическую важность проактивных механизмов защиты. В то время как организации борются за обеспечение безопасности своей цифровой инфраструктуры, бдительность и упреждающие действия становятся незаменимым оружием в непрерывной борьбе с киберпротивниками. Следуя предупреждениям экспертов кибербезопасности и внедряя надежные протоколы безопасности, компании могут снизить риски, связанные с кражей хешей NTLM, и защитить свои бесценные цифровые активы от злонамеренного использования.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Джеймс Киноти
Энтузиаст криптовалют Джеймс получает удовольствие от обмена знаниями в области финтеха, криптовалют, блокчейна и передовых технологий. Его главная страсть — новейшие инновации в криптоиндустрии, криптогейминг, искусственный интеллект, технологии блокчейна и другие смежные направления. Его миссия: быть в курсе трансформационных приложений в различных отраслях.
