CategoriaInteligência do adversárioIndústrias afetadasMúltiploRegião afetadaGlobal

Sumário executivo

• CloudSEKa principal plataforma digital de monitoramento de risco da XV Vigília descobri uma postagem, em um fórum de crimes cibernéticos, anunciando a ferramenta de força bruta NLBrute RDP que roda no NLBrute 1.2 e em um botnet controlado.
• A ferramenta NLBrute, conforme mencionado acima, foi projetada para distribuir o processo de credenciais RDP de força bruta para um botnet controlado de endereços IP direcionados que têm portas RDP abertas em diferentes países.
• A equipe de pesquisa de inteligência de ameaças da CloudSEK está validando a postagem.

[caption id="attachment_17650" align="aligncenter” width="589"] Postagem do ator da ameaça no fórum de crimes cibernéticos [/caption]

Análise

A ferramenta de força bruta NLBrute RDP é usada para distribuir a carga de trabalho de encontrar credenciais mais válidas de acessos RDP. Os agentes de ameaças usam essa ferramenta para fazer pesquisas mais eficientes e rápidas em vários dispositivos usando bots em vez de executar a ferramenta NLBrute em um único dispositivo. Os supostos recursos dessa ferramenta são baseados no NLBrute v1.2. A ferramenta é usada para usar credenciais RDP de força bruta, o que requer três arquivos para ser executada:

• Uma lista de endereços IP que têm a porta RDP 3389 aberta
• Uma lista de palavras de senhas
• Uma lista de nomes de usuário

[caption id="attachment_17652" align="aligncenter” width="261"] NLBrute 1.2 [/legenda] O agente da ameaça também compartilhou mais capturas de tela que ilustram como a ferramenta funciona. As capturas de tela foram adicionadas ao relatório na seção Apêndice.

Impacto e mitigação

Mitigação de impactoEssa ferramenta permite que os agentes de ameaças encontrem possíveis portas RDP abertas que lhes permitam comprometer mais dispositivos ao forçar as credenciais RDP de força bruta. As credenciais de RDP válidas podem permitir que os atores:

• Obtenha acesso RDP ao dispositivo comprometido.
• Aumente os privilégios.
• Movimento lateral dentro do ambiente de rede.
• Implante diferentes tipos de malwares, incluindo, mas não se limitando a, ransomware.
• Use o dispositivo comprometido como um bot para infectar outras máquinas.

• Use senhas fortes.
• Ative a autenticação multifator para todas as contas on-line.
• Não compartilhe OTPs com terceiros.
• Revise contas on-line e demonstrações financeiras periodicamente.
• Atualize regularmente todos os softwares e aplicativos para os patches mais recentes.
• Feche as portas não utilizadas do RDP.
• Use ferramentas atualizadas de prevenção e detecção de terminais.

Apêndice

[caption id="attachment_17653" align="aligncenter” width="571"] Lista de bots controlados [/caption] [caption id="attachment_17654" align="aligncenter” width="561"] Executando a ferramenta NLBrute nos bots selecionados [/caption] [caption id="attachment_17655" align="aligncenter” width="558"] Controlando a estrutura de arquivos do NLBrute para cada tarefa do cliente [/caption] [caption id="attachment_17656" align="aligncenter” width="560"] Selecionar e executar a tarefa de força bruta [/caption] [caption id="attachment_17657" align="aligncenter” width="558"] Mostrando o resultado das credenciais de força bruta [/caption]