Conti-ransomware gebruikt dertig bekende kwetsbaarheden bij aanvallen

[Captain Kirk]

De Conti-ransomwaregroep maakt bij aanvallen op organisaties gebruik van meer dan dertig bekende kwetsbaarheden, zo blijkt uit chatgesprekken die onlangs op internet werden gelekt. Begin deze maand stelden de FBI, de Amerikaanse geheime dienst NSA en het Cybersecurity and Infrastructure Security Agency (CISA) dat meer dan duizend organisaties wereldwijd zijn aangevallen met de Conti-ransomware.

Conti hanteert net als verschillende andere ransomware-exemplaren een ransomware-as-a-service (RaaS)-model, maar er is volgens de Amerikaanse diensten wel een verschil. Via RaaS kunnen criminelen op eenvoudige wijze over ransomware beschikken, waarbij er een deel van de inkomsten naar de ontwikkelaar van de ransomware gaat. Criminelen moeten in dit geval de ransomware nog wel zelf verspreiden. In het geval van de Conti-groep betalen de ontwikkelaars de criminelen die de ransomware verspreiden geen percentage maar een loon.

Om toegang tot de netwerken van hun slachtoffers te krijgen en de ransomware te verspreiden maken aanvallers gebruik van algemeen bekende methodes zoals het gebruik van spearphishing met Microsoft Office-documenten en malafide links, gestolen RDP-inloggegevens en bekende kwetsbaarheden. Eind februari verschenen interne chatlogs van de Conti-groep op internet, die inzicht geven in de opzet en werkwijze van de groep.

Zo blijkt dat de aanvallers bij hun aanvallen van meer dan dertig bekende kwetsbaarheden gebruikmaken, melden securitybedrijven Tenable en BreachQuest. Via negen van deze beveiligingslekken, aanwezig in Fortinet FortiOS, Microsoft Exchange Server, Windows, VMware vSphere en VMware vCenter Server wordt er op afstand toegang tot systemen verkregen. De overige 24 beveiligingslekken, allemaal aanwezig in Windows, maken het mogelijk voor de aanvallers om hun rechten op het systeem te verhogen om zich uiteindelijk lateraal door het netwerk te bewegen.

"Gegeven dat de groep en diens partners naast kwetsbaarheden verschillende manieren hebben om organisaties binnen te dringen, maar hogere rechten nodig hebben om schade aan te richten, is het niet verrassen dat de meeste kwetsbaarheden in hun toolkit is gericht op het verhogen van rechten", zegt onderzoeker Satnam Narang. Een groot deel van deze kwetsbaarheden is al jaren oud. Organisaties worden dan ook opgeroepen om hun software up-to-date te houden.

 

bron: https://www.security.nl