CISA reagierte auf einen Cybervorfall bei einer US-Bundesbehörde, nachdem deren Endpoint Detection and Response-Tool verdächtige Aktivitäten gemeldet hatte. Die Behörde wurde durch die Ausnutzung von CVE-2024-36401 in zwei GeoServern kompromittiert. Diese Schwachstelle, die kurz vor der Ausnutzung bekannt gegeben wurde, ermöglichte es Angreifern, Remote Code Execution zu erlangen.Die Angreifer blieben drei Wochen lang unentdeckt, während derer sie sich seitlich auf andere Server ausbreiteten. Wichtige Erkenntnisse aus diesem Einsatz verdeutlichen kritische Sicherheitslücken. Eine umgehende Behebung von Schwachstellen, insbesondere in öffentlich zugänglichen Systemen, ist unerlässlich.Organisationen müssen ihre Incident-Response-Pläne regelmäßig testen und aktualisieren, um sicherzustellen, dass sie die Unterstützung Dritter ermöglichen. Eine kontinuierliche Überprüfung von Endpoint Detection and Response-Alarmen ist entscheidend für die rechtzeitige Erkennung von Bedrohungen. Die Implementierung einer umfassenden und zentralisierten Protokollierung ist ebenfalls unerlässlich für eine effektive Vorfallsanalyse.Die Angreifer nutzten öffentlich verfügbare Tools für Aufklärung, Ressourcenentwicklung und verschiedene Phasen ihres Angriffs. Sie setzten Web-Shells, Cron-Jobs und gültige Konten zur Persistenz ein. Versuche zur Privilegieneskalation wurden mit bekannten Linux-Exploits durchgeführt.Taktiken zur Umgehung der Verteidigung umfassten indirekte Befehlsausführung und die Verwendung von Tools wie RingQ. Der Zugriff auf Anmeldeinformationen wurde durch Brute-Force-Techniken und die Ausnutzung von Dienstkonten erreicht. Entdeckungsbemühungen umfassten Netzwerk-Scanning und Schwachstellenbewertungstools. CISA stellt Indikatoren für Kompromittierung und technische Details zur Verfügung, um Organisationen bei der Verhinderung ähnlicher Angriffe zu unterstützen.