BumbleBee Webshell

Description de BumbleBee Webshell

La campagne de menace xHunt est non seulement toujours en cours, mais les chercheurs d'Infosec détectent de nouveaux outils malveillants déployés par les pirates. La dernière découverte par les experts de Palo Alto Networks s'appelle BumbleBee Webshell. Les attaquants ont utilisé cet outil particulier dans le cadre de la compromission d'un serveur Microsoft Exchange appartenant à une organisation koweïtienne. En outre, le BubleBee Webshell a également été détecté à l'intérieur des serveurs IIS (Internet Information Services) internes de deux organisations koweïtiennes différentes, ainsi que de celle qui possédait le serveur Exchange compromis.

Pour contacter BumbleBee Webshell sur des serveurs ouverts sur Internet, les pirates ont utilisé des VPN (Virtual Private Networks) fournis par un accès Internet privé. Grâce à cette méthode, les attaquants étaient capables de changer leur adresse IP, donnant l'impression que la connexion provenait de différents pays, dont la Suède, la Belgique, l'Allemagne, l'Italie, l'Irlande, les Pays-Bas, le Portugal, le Luxembourg, la Pologne et le Royaume-Uni. Dans le même temps, les cybercriminels ont basculé entre différents systèmes d'exploitation - Windows 10, Windows 8.1 et Linux, et différents navigateurs Web - Mozilla Firefox et Google Chrome. Le but est d'empêcher toute tentative de détection et de rendre l'analyse encore plus difficile.

Le BumbleBee Webshell est un malware menaçant

Pour accéder au BumbleBee Webshell sur les serveurs Web IIS internes, qui ne sont pas directement accessibles depuis Internet, le menaçant a établi des tunnels SSH. Les preuves suggèrent que grâce à l'outil PuTTY Link (Plink), les pirates ont créé des tunnels SSH qui servaient de connexion aux services internes du réseau compromis.

Pour déployer complètement le BumbleBee Webshell et lancer sa fonctionnalité, deux mots de passe doivent être fournis. Le premier est nécessaire pour afficher simplement le webshell, tandis que le second est nécessaire pour interagir avec lui. BumbleBee a reconnu trois commandes au total, mais elles sont plus que suffisantes pour mener une variété d'opérations menaçantes:

  • Exécuter des commandes arbitraires via cmd / c
  • Télécharger des fichiers dans un dossier spécifique sur le serveur de l'attaquant
  • Télécharger des fichiers supplémentaires à partir du serveur

L'analyse de l'activité sur les trois serveurs compromis a révélé que les attaquants exécutaient des commandes pour découvrir les informations d'identification du compte utilisateur, ainsi que d'autres systèmes connectés au même réseau interne. Dans le même temps, le BumbleBee Webshell pourrait également être utilisé pour un mouvement latéral avec le réseau de la victime.

Laisser une Réponse

Veuillez ne pas utiliser ce système de commentaires pour des questions de soutien ou de facturation. Pour les demandes d'assistance technique de SpyHunter, veuillez contacter directement notre équipe d'assistance technique en ouvrant un ticket d'assistance via votre SpyHunter. Pour des problèmes de facturation, veuillez consulter notre page «Questions de facturation ou problèmes?". Pour des renseignements généraux (plaintes, juridique, presse, marketing, droit d’auteur), visitez notre page «Questions et commentaires».


Le HTML n'est pas autorisé.