Tietoevry i Sverige rammet av ransomware-angrep. Microsoft rammet av datainnbrudd igjen. Apache ActiveMQ-feil utnyttet i Godzilla web-shell angrep.
Tietoevry i Sverige rammet av ransomware-angrep
Deler av ett av Tietoevrys datasentre i Sverige ble rammet av ransomware-angrep og noen av deres systemer gikk ned. Dette skjedde natten mellom 19. og 20 januar. Gjenoppretting av systemer og data pågår, men noen kunder er fortsatt rammet i større eller mindre grad.
Hendelsen skal være isolert til kun den svenske delen av Tietoevry og deres kunder. Bleepingcomputer melder at det er Akira-gruppen som står bak angrepet.
Microsoft rammet av datainnbrudd igjen
Microsoft melder at de den 12. januar oppdaget at en aktør med knytning til den russiske stat hadde tilgang til deres interne systemer. Microsoft kaller aktøren for Midnight Blizzard, men den er også kjent som Nobelium, APT29 og Cozy Bear.
Microsoft har avdekket av aktøren først fikk tilgang til deres systemer i november 2023, ved hjelp av et passord-spray angrep, der mye brukte passord blir prøvd mot en rekke kontoer. Aktøren fikk på denne måten tilgang til en konto i en test-tenant. Tilgangene ble brukt til å lese interne epost-kontoer i Microsoft, blant annet kontoene til ledelsen. Microsoft mener at aktøren hadde som mål å finne ut hva slags informasjon Microsoft hadde om aktøren selv.
Microsoft poengeterer at angrepet ikke skyldtes svakheter i systemene deres. De lover å innføre nye tiltak for å øke sikkerheten ytterligere.
Apache ActiveMQ feil utnyttet i Godzilla web-shell angrep
Sikkerhetsforskere advarer om en "betydelig økning" i aktiviteten til trusselaktører som utnytter en sårbarhet i Apache ActiveMQ for å levere Godzilla-webshell på kompromitterte enheter.
"Webshellene er skjult i et ukjent binærformat og er designet for å unngå sikkerhetskontroller og signaturbaserte skannere," har Trustwave sagt. "Merkelig nok, til tross for den ukjente filformatet, fortsetter ActiveMQ's JSP-motor å kompilere og utføre webshellen."
CVE-2023-46604 (CVSS-poengsum: 10.0) refererer til en alvorlig sårbarhet i Apache ActiveMQ som muliggjør ekstern kjøring av kode. Siden den ble offentliggjort sent i oktober 2023 har den vært under aktiv utnyttelse av flere aktører for å distribuere ransomware, rootkits, kryptovaluta-utvinnere og DDoS botnet-klienter. Svakheten ble patchet allerede i september i fjor.
