Tin tặc khai thác phần mềm camera giám sát GeoVision bị hớ hênh để vô hiệu hóa Defender và triển khai mã độc khai thác tiền điện tử

Các tác nhân đe dọa đang lạm dụng phần mềm giám sát GeoVision tiếp xúc với internet để xâm nhập vào mạng lưới doanh nghiệp, vô hiệu hóa Microsoft Defender và âm thầm cài đặt mã độc khai thác tiền điện tử, theo nghiên cứu mới từ Huntress.

Trung tâm Điều hành An ninh (SOC) của Huntress bắt đầu ghi nhận hoạt động này vào ngày 8 tháng 11, với hầu hết các cuộc tấn công diễn ra trong khoảng từ ngày 8 đến ngày 10 tháng 11 và hoạt động vẫn tiếp diễn trong tuần qua. Cho đến nay, 13 tổ chức thuộc nhiều ngành nghề khác nhau đã bị ảnh hưởng. GeoVision là một nhà cung cấp thiết bị giám sát và kiểm soát truy cập Đài Loan.

Mọi sự cố đều được truy vết về cùng một nguồn: GeoStartupAgentService.exe, một dịch vụ GeoVision đang chạy với quyền SYSTEM đầy đủ trên nhiều máy tính. Việc tìm kiếm các địa chỉ IP bên ngoài của nạn nhân trên Shodan cho thấy các thiết bị hoặc giao diện quản lý GeoVision đang nằm công khai trên internet.

Làm tê liệt các biện pháp phòng thủ trước tiên

Khi những kẻ tấn công đã có chỗ đứng, dịch vụ GeoVision đã tạo ra một vỏ lệnh để tải xuống một chuỗi các tập lệnh PowerShell từ một máy chủ do kẻ tấn công kiểm soát. Trước khi cài đặt payload, những kẻ tấn công đã nỗ lực vô hiệu hóa các công cụ bảo mật của nạn nhân.