Киберподразделение Хезболла атаковало операторов связи по всему миру

Киберпреступная группировка Lebanese Cedar, связанная с ливанской военизированной организацией Хезболла, взломала целый ряд операторов связи и интернет-провайдеров в США, Великобритании, Израиле, Египте, Саудовской Аравии, Ливане, Иордании, ОАЭ и Палестинской национальной администрации. Обнаруженная специалистами ИБ-компании Clearsky вредоносная операция стартовала в начале 2020 года и продолжалась почти год.

Согласно новому отчету Clearsky, специалисты обнаружили как минимум 250 web-серверов, взломанных Lebanese Cedar. Целью киберпреступников являлся сбор информации и баз данных, содержащих чувствительные сведения. В случае телекоммуникационных компаний можно предположить, что злоумышленники также могли получить доступ к записям звонков и персональным данным абонентов.

Атака проходит по простой схеме. С помощью хакерских инструментов с открытым исходным кодом Lebanese Cedar сканируют интернет в поисках необновленных серверов Atlassian и Oracle. Затем с помощью эксплоитов они получали к ним доступ и устанавливали web-оболочки для получения доступа к внутренним системам атакуемых компаний.

Для взлома серверов злоумышленники эксплуатировали следующие уязвимости:

CVE-2019-3396 в Atlassian Confluence;

CVE-2019-11581 в Atlassian Jira;

CVE-2012-3152 в Oracle Fusion.

Получив доступ к этим системам, злоумышленники развертывали web-оболочки, такие как ASPXSpy, Caterpillar 2, Mamad Warning и инструмент с открытым исходным кодом под названием JSP file browser (который также может играть роль web-оболочки).

Во внутренних сетях хакеры устанавливали более мощный инструмент для кражи данных под названием Explosive Remote Access Trojan (RAT), применяющийся исключительно в атаках Lebanese Cedar.

По словам исследователей, злоумышленники допустили ошибку – повторно использовали файлы между вторжениями, что позволило экспертам отслеживать атаки по всему миру и связывать их с группой Lebanese Cedar.

Специалисты выявили 254 зараженных сервера по всему миру, и 135 из них имеют тот же хэш, что и файлы, выявленные в сети жертвы в ходе расследования одного из инцидентов. Жертвами хакеров, в частности, стали телекоммуникационные компании Vodafone Egypt, Etisalat UAE, SaudiNet в Саудовской Аравии и Frontier Communications в США.