與俄羅斯有關聯的、由國家支持的攻擊組織Sandworm與一項長達三年的秘密行動有關，該行動利用名為Centreon的IT監控工具攻擊目標。

法國信息安全機構ANSSI在一份咨詢報告中表示，根據研究，此次的攻擊活動已經攻擊了“幾個法國公司”，該活動始于2017年底，持續到2020年，攻擊特別影響了Web托管提供商。

法國信息安全機構周一說：

• “在受到攻擊的系統上，ANSSI發現以webshell形式出現的后門存在于暴露于互聯網的幾臺Centreon服務器上。”

此后門被標識為PAS Webshell，版本號3.1.4。在同一服務器上，ANSSI發現了另一個與ESET描述的后門相同的后門，名為Exaramel。 Exaramel 后門“是后門組件的改進版本”，是針對工業控制系統(ICS)的惡意軟件 Industroyer 的一部分，Industroyer 曾在2016年12月引發烏克蘭停電。

據說俄羅斯黑客組織(也稱為APT28，TeleBots，Voodoo Bear或Iron Viking)在過去幾年中遭受了一些最具攻擊性的網絡攻擊，其中包括2016年烏克蘭的電網攻擊，2017年的NotPetya勒索軟件爆發以及2018年平昌冬季奧運會。

雖然最初的攻擊對象似乎還不清楚，但受害者網絡的入侵與Centreon有關，Centreon是由一家同名的法國公司開發的一款應用程序和網絡監控軟件。

Centreon成立于2005年，其客戶包括Airbus, Air Caraïbes, ArcelorMittal, BT, Luxottica, Kuehne + Nagel, Ministère de la Justice français, New Zealand Police, PWC Russia, Salomon, Sanofi和 Sephora，目前尚不清楚有多少或哪些組織通過該軟件黑客被攻擊。

ANSSI表示，受攻擊的服務器運行CENTOS操作系統(版本2.5.2)，并在兩種不同的惡意軟件中發現了這種惡意軟件，一個名為PAS的公開Webshell，另一個名為Exaramel，自2018年以來，Sandworm在先前的攻擊中曾使用過該Webshell。

web shell配備了處理文件操作、搜索文件系統、與SQL數據庫交互、對SSH、FTP、POP3和MySQL執行暴力密碼攻擊、創建反向shell和運行任意PHP命令的功能。

另一方面，Exaramel用作遠程管理工具，能夠執行Shell命令并在攻擊者控制的服務器與受感染的系統之間來回復制文件。它還使用HTTPS與其命令和控制(C2)服務器進行通信，以便檢索要運行的命令列表。

此外，ANSSI的調查顯示，為了連接到Web Shell，使用了常見的虛擬網絡服務，在C2基礎結構中存在重疊，從而將操作連接到Sandworm。

研究人員表示：

• “眾所周知，攻擊設備Sandworm會引起隨后的攻擊活動，然后重點關注適合其在受害者群體中的戰略利益的特定目標，ANSSI觀察到的活動符合這種行為。”

鑒于SolarWinds供應鏈的攻擊，研究人員認為諸如Centreon之類的監視系統已成為不良行為者發起攻擊并在受害環境中橫向移動的有利可圖的手段。但是，與前者的供應鏈攻擊不同，新近披露的攻擊有所不同，它們似乎是通過利用受害者中心網絡中運行Centreon軟件的面向互聯網的服務器來實施的。

ANSSI警告說：

• “因此，建議在漏洞公開并發布糾正補丁后立即更新應用程序。建議不要將這些工具的Web界面公開到互聯網上或使用非應用身份驗證來限制這種訪問。”

本文翻譯自：https://thehackernews.com/2021/02/hackers-exploit-it-monitoring-tool.html如若轉載，請注明原文地址。