BlackHatSect0r и DXQRTXX сканировали 2,76 млн доменов

BlackHatSect0r && DXQRTXX, франкоязычная киберпреступная группа, использовала собственную платформу сканирования и управления DXSCAN на языке Go. Платформа автоматически обработала примерно 2,76 миллиона доменов, а набор извлечённых данных содержал 16 834 учётные записи. Операция была направлена на государственные системы Франции, общественные учреждения, абонентов телекоммуникационных услуг, финансовые сервисы и организации государственного сектора США. Подтверждённых уязвимостей нулевого дня не обнаружено.

Инфраструктура и сбор учётных данных

Активная инфраструктура размещалась у хостера AlexHost в Молдове по адресу 217.156.122.129. Выведенный из эксплуатации сервер находился по адресу 37.221.66.43. Панель управления DXSCAN была доступна из интернета через порт 8080.

DXSCAN генерировала IP-адреса целей, проверяла порты 80, 443 и 8080, определяла типы приложений, искала скомпрометированные секреты, применяла сигнатуры эксплойтов, сохраняла результаты и передавала отчёты через Телеграм. Операция в основном извлекала учётные данные и конфиденциальную информацию из общедоступных ресурсов, а не использовала новые уязвимости.

В набор данных вошли учётные данные для баз данных, SMTP, AWS, GitHub и Redis, а также секреты приложений. Типичными источниками утечек были:

• общедоступные облачные хранилища;
• файлы .env и .git;
• резервные копии конфигураций;
• ключевой материал, доставляемый браузером;
• слабые или стандартные секреты подписи JWT.

Подтверждённые компрометации включали экспонированные объекты хранения, данные Laravel и Git, административные интерфейсы, базы данных и учётные данные. Группа проверила извлечённые учётные записи SMTP и подготовила их для фишинговой активности.

Постэксплуатация и атаки на приложения

BlackHatSect0r && DXQRTXX разработала возможности для постэксплуатации. Они включали доступ к командной строке, SSRF, извлечение данных из баз данных, подстановку украденных учётных данных, атаки на аккаунты в Телеграм и автоматизацию вывода криптовалюты.

В инфраструктуре группы находились незавершённый агент и архитектура ботнета с полями для регистрации, передачи маячков и отслеживания задач. Там же работал слушатель обратной оболочки на порту 4444.

В отношении французского платёжного портала злоумышленники предпринимали попытки контрабанды запросов, обхода WAF, SSRF, брутфорса и подделки JWT. Эти действия были зафиксированы после обнаружения слабых параметров PBKDF2 и материала для вывода ключей в клиентском JavaScript.

Вредоносное ПО и используемые инструменты применяли публичные или ранее раскрытые методы, включая уязвимости Laravel CVE-2021-3129 и CVE-2018-15133, Spring Cloud Gateway CVE-2022-22947, WordPress CVE-2021-29447, а также публичный пример реализации для nginx HTTP/3.

Компонент на базе ИИ и меры защиты

Компонент на базе ИИ использовал агента Hermes с отключёнными механизмами защиты, в том числе параметром HERMES_DISABLE_SAFETY=1. Среди оставленных им артефактов были файл SOUL.md, каталог .hermes/ и имена процессов ghost_.

Авторы отчёта рекомендуют:

• аудировать публичные хранилища и конфигурационные файлы;
• ротировать скомпрометированные секреты;
• мониторить активность в Телеграм и ngrok;
• выявлять повторяющиеся всплески запросов к конфигурационным файлам;
• выявлять сканирование портов 80, 443 и 8080.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.