Xakep #305. Многошаговые SQL-инъекции
Иранские «правительственные» хакеры из группировки Pioneer Kitten (она же Fox Kitten и Parisite) торгуют доступом к сетям скомпрометированных компаний на хакерских форумах, сообщают специалисты Crowdstrike.
Напомню, что в 2019-2020 годах эта группировка провела серию атак с использованием уязвимостей в VPN и сетевом оборудовании. К примеру, хакеры эксплуатировали:
- корпоративные VPN Pulse Secure (CVE-2019-11510);
- VPN-сервера Fortinet под управлением FortiOS (CVE-2018-13379);
- VPN-серверы Palo Alto Networks «Global Protect» (CVE-2019-1579);
- ADC-серверы Citrix и сетевые шлюзы Citrix (CVE-2019-19781);
- балансировщики нагрузки F5 Networks BIG-IP (CVE-2020-5902).
По информации компании Dragos, группировка взламывала сетевые устройства, используя перечисленные уязвимости, оставляла в сетях организаций бэкдоры, а затем предоставляла доступ к ним другим иранским хакерским группам, включая APT33 (Elfin, Shamoon), APT34 (Oilrig) и APT39 (Chafer).
Теперь же эксперты Crowdstrike сообщают, что Pioneer Kitten не только делится доступом с « коллегами», но и продает доступ к некоторым взломанным сетям на хакерских форумах, по крайней мере, с июля 2020 года. Исследователи полагают, что таким образом группировка пытается диверсифицировать свои доходы и монетизировать доступ к сетям, которые не имеют никакой ценности для иранских спецслужб.
