拡大/財務長官スティーブ・ムヌチンは、あなたがそこで何をしたかを見て、 ロシアゲッティイメージズ
財務省は新しい経済制裁を発表しました 今日、ロシア連邦および個人について 2016年の米国との干渉に関与する組織 大統領選挙—国土安全保障省と同様 新しい「ロシア政府のサイバー活動」の新しい警告を発表 米国政府と米国の重要なインフラストラクチャを対象 プロバイダー。
制裁は、改正の一部として実施されています 2015年にオバマ大統領が署名した大統領令。 トランプ政権は新しい制裁を課した-最初の 政権は、対抗するアメリカの 通過した制裁法による敵対行為（CAATSA） 昨年の議会-ロシアを公式に非難した1か月後 NotPetyaワームのインテリジェンス。
スティーブン・ムヌチン財務長官は制裁を発表し、 「政権は立ち向かい反対している」と説明する 悪意のあるロシアのサイバー活動 米国の選挙への干渉、破壊的なサイバー攻撃、および 重要なインフラストラクチャを標的とした侵入。」新しい制裁、 彼は、「進行中の問題に対処するためのより広範な努力の一部である」と述べた ロシアから発せられる悪質な攻撃。 財務省は課すつもり インテリジェンスから通知された追加のCAATSA制裁 コミュニティ、ロシア政府の役人とオリガルヒを保持する 不安定化する活動については、 米国の金融システムへのアクセス。」
選挙干渉、NotPetya攻撃、および イギリスの元ロシアスパイに対する神経エージェント攻撃は 新しい制裁の理由として、ロシアの クリミアとウクライナでの行動。 新しい制裁の目的は ロシアのGRU intelligence報機関の職員、および人々 ロバート・ミューラーの特別顧問により起訴された組織 調査：Internet Research Agency（IRA）、コンコード 管理およびコンサルティング、Concord Catering、およびその所有者 「プーチンのシェフ」として知られるエフゲニー・プリゴジンと12 IRAに関連付けられている他の個人。
一方、連邦捜査局とDHSは 広範囲にわたる「多段階侵入キャンペーン」をDHSとして特定した 本日公開された技術警告で当局者が指摘した。 キャンペーン 「少なくとも2016年3月」以来活動している、と報告書は述べている。 「政府機関と複数の米国の重要な エネルギー、原子力、商業を含むインフラ部門 施設、水、航空、重要な製造業 セクター。」
攻撃では、「スピアフィッシング」メールが使用されています。 標的の個人に対する悪意のあるMicrosoft Wordファイル 組織。 .docxファイルは、 共有ファイルを取得しようとするMicrosoft Officeスクリプト サーバーメッセージブロック（SMB）要求を介したサーバーから。 の リクエストは、ファイルが存在するかどうかに関係なく、 サーバーからクライアントへの認証要求をトリガーし、 悪意のある添付ファイルのスクリプトがハッシュをキャプチャできるようにする ユーザーの資格情報。 スクリプトは資格情報収集もインストールしました HydraやCrackMapExecなどのツールは、 ユーザー名とパスワード。
同じアプローチのいくつかを使用した別のタイプの攻撃 「水飲み場」攻撃-正当なWebサイトを標的にして実行する SMBも活用する悪意のあるJavaScriptおよびPHPスクリプト 認証情報を取得するためのリクエストメソッド、上の画像ファイルをリクエストする 「file：//」URLを持つリモートシステム。
水飲み場の設置に使用されるサイトを侵害する 攻撃、攻撃者は追加のスピアフィッシングメールを使用した ある種の契約合意としてラベル付けされた.pdfが含まれています。 の .pdf、「document.pdf（名前には 2つのアクセント記号）、短縮URLが含まれ、クリックすると、 メールアドレスとパスワードを要求するウェブページを開きました。 .pdf マルウェアのダウンロード自体は実行されませんでしたが、ウェブページは リダイレクトの長いチェーンを介して-しました。
クレデンシャルが手に入ると、攻撃者はそれらを使用して獲得しました 二要素認証が使用されなかったシステムへのアクセス。 彼ら 次に、TomcatサーバーとJava Server Pagesファイルをインストールしました。 symantec_help.jsp、およびWindowsスクリプト 彼らに永続的なアクセスを与えるために、enu.cmdという名前を付けました システム。 ファイルは一貫してディレクトリに保存されていました C：Program Files（x86）\ Symantec \ Symantec Endpoint Protection Manater \ tomcat \ webapps \ ROOT。 その後、攻撃者は Windows .aspxベースのWebシェルをインストールして、リモートアクセスを取得します。
JSPはスクリプトを実行し、次にスクリプトを作成しようとします システムのローカル管理者アカウントとファイアウォールの変更 ターゲットシステムの設定。 悪意のあるWindows .lnkファイル リモートリソースへのリンクとWindowsレジストリの変更 ターゲットの永続的な存在を確立するためにも使用されました システム。
