安全周报第156期 | 勒索软件攻击现在瞄准未打补丁的WS_FTP服务器

近日，研究人员观察到，一个自称为Reichsadler网络犯罪团体，试图使用LockBit3.0生成器创建的勒索软件负载来攻击未打补丁的暴露在互联网上的WS_FTP服务器，但未能成功。

研究人员观察到，尽管有关人员在2023年9月发布了解决这一漏洞的补丁，但并非所有服务器都已打补丁。该犯罪团体试图使用开源工具GodPotato升级权限，该工具允许在Windows客户端（从Windows 8到Windows 11）和服务器（从Windows Server 2012到Windows Server 2022）平台上升级至'NT AUTHORITYSYSTEM'。幸运的是，他们试图在受害者系统上部署勒索软件负载，但最终被挫败，阻止了攻击者加密目标数据的可能性。尽管他们未能加密文件，但该犯罪团体仍然要求支付500美元的赎金，截止日期为莫斯科标准时间的10月15日。低额的赎金要求暗示，很可能会有大规模的自动化攻击，或有经验不足的勒索软件针对互联网暴露和易受攻击的WS_FTP服务器进行操作。

发现WS_FTP漏洞的研究人员在补丁发布后的几天内发布了漏洞利用代码的概念验证（PoC）。研究人员表示：“根据我们对WS_FTP的分析，我们发现互联网上有大约2.9k台运行WS_FTP的主机（并且还暴露了其Web服务器，这对于攻击是必要的）。这些在线资源大多属于大型企业、政府和教育机构。”研究人员透露，攻击者从9月3日开始利用CVE-2023-40044，也就是PoC漏洞发布的那天。“所有观察到实例的过程执行链看起来都是一样的，这表明WS_FTP服务器的易受攻击版本可能正在进行大规模攻击，” 研究人员列出了近2000台运行WS_FTP服务器软件的互联网设备，从而确认了他们最初的估计。