Los atacantes utilizan el punto final de almacenamiento de Cloudflare para filtrar archivos de redes comprometidas

Los atacantes han encontrado una nueva forma de robar silenciosamente datos de redes comprometidas y, esta vez, se esconden detrás de una cara familiar. Los investigadores de seguridad han descubierto una campaña de intrusión dirigida que utilizó un punto final de almacenamiento alojado en Cloudflare para extraer archivos robados de los sistemas violados sin generar alarmas.

Lo que unió todo fue el uso por parte del atacante de un punto final de almacenamiento de Cloudflare como destino final de los archivos robados, diseñado para combinar el tráfico saliente con la actividad normal de la nube y evadir el monitoreo de la red. Los atacantes utilizan el punto final de almacenamiento de Cloudflare Una de las partes más ingeniosas de esta campaña fue cómo el atacante sacó los datos robados de las redes comprometidas. Se creó un script de Python llamado gen_photo_upload.py específicamente para cargar archivos exfiltrados a un punto final de almacenamiento externo alojado en Cloudflare bajo el control del atacante. El script era parte de un conjunto de herramientas modular más amplio, que captura la lógica de transferencia de archivos dirigida al punto final de Cloudflare controlado por el atacante.

Indicadores de compromiso (IoC) (IoC) (IoC): – TipoIndicadorDescripciónDirección IP 20.17.161.118Máquina virtual Microsoft Azure controlada por el atacante en la región oeste de Malasia (AS8075) utilizada como C2 e infraestructura de pruebaNombre del archivogen_photo_upload.pySecuencia de comandos de Python utilizada para exfiltrar archivos al punto final de almacenamiento de Cloudflare controlado por el atacanteNombre del archivoanalyze_[ELIMINADO].pySecuencia de comandos de Python con MSSQL incorporado credenciales utilizadas para ejecutar consultas SQL en el servidor interno de destino Nombre de archivoasset_owner_check.pySecuencia de comandos Python para inspeccionar y preparar conjuntos de datos de propiedad de activos a través de WinRM para la recopilaciónNombre de archivocheck_cophoto.pySecuencia de comandos Python para enumeración de registros fotográficos basados en MSSQL y validación de tipo de columnaNombre de archivodeploy.pySecuencia de comandos Python que contiene la configuración del punto final RPC externo para la ejecución remota de comandosNombre de archivoshell21.pySecuencia de comandos Python utilizada para cargar PHP webshell (health.php) a un portal del gobierno de Malasia. La publicación Los atacantes utilizan el punto final de almacenamiento de Cloudflare para filtrar archivos de redes comprometidas apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗