Los intentos de acceso inicial utilizan código de prueba de concepto (PoC) divulgado públicamente como base, dice Greynoise, con cargas útiles de etapa 1 que realizan pruebas de prueba de ejecución (PoE) (por ejemplo, aritmética de PowerShell) para validar RCE de forma económica y utilizan etapas codificadas de descarga y ejecución de PowerShell. Luego, una carga útil de etapa 2 que utiliza la reflexión para configurar System.Management.Automation.AmsiUtils.amsiInitFailed = verdadero (un bypass AMSI estándar), y iex ejecuta la siguiente etapa.
El equipo de investigación de seguridad de JFrog también informó hoy que encontró una prueba de concepto funcional que conduce a la ejecución de código, y ellos y otros también informaron haber encontrado PoC falsos que contienen código malicioso en GitHub. “Los equipos de seguridad deben verificar las fuentes antes de probar (estos PoC)”, advierte JFrog.
Amitai Cohenlíder de inteligencia de vectores de ataque en Wiz, también dijo hoy que la empresa ha visto la publicación de pruebas de concepto de exploits e intentos de explotación activos en la naturaleza. «Nuestros equipos de amenazas han detectado estos intentos en los entornos de los clientes, incluidas implementaciones de malware de criptojacking y esfuerzos para robar credenciales de la nube de máquinas comprometidas», dijo en un correo electrónico.
Recent reports indicate a surge in cyber attacks that leverage publicly disclosed proof-of-concept (PoC) code for initial access. This use of PoC serves as a foundation for malicious entities to execute their strategies effectively. According to Greynoise, attackers implement stage 1 payloads that conduct tests via PowerShell, validating Remote Code Execution (RCE) at a reduced cost. These attempts employ coded stages to download and execute PowerShell scripts.
A common tactic involves the second stage payload, which utilizes reflection to set specific parameters, such as enabling the bypass of the Anti-Malware Scan Interface (AMSI). This method allows attackers to execute malicious commands without detection. The stage 2 payload employs commands like iex to initiate the next stage of the attack sequence.
JFrog’s security research team has echoed these findings, identifying functional proof-of-concept code that can lead to actual code execution. They have also noted the presence of false PoC on platforms like GitHub that contains malicious content. This serves as a caution for security teams, who must thoroughly verify sources before testing any PoC.
Amitai Cohen, a leader at Wiz, reported a rise in the dissemination of exploit PoCs and active attempts to exploit vulnerabilities. Their threat teams have detected incidents involving the deployment of malware for cryptocurrency mining and efforts aiming to steal cloud credentials from compromised machines.
The broader implication of these findings emphasizes the need for heightened vigilance and scrutiny regarding the code being tested by security teams. Continuous monitoring and verification of external sources are critical in mitigating the risks posed by these evolving cyber threats.