⁣👾 Cisco: violato da Yanluowang

Cisco ha rivelato una violazione della sicurezza: il gruppo ransomware Yanluowang ha violato la sua rete aziendale qualche tempo fa e ha rubato dati interni.

L'indagine condotta da Cisco Security Incident Response (CSIRT) e Cisco Talos ha rivelato che gli attori delle minacce hanno compromesso le credenziali di un dipendente Cisco dopo aver ottenuto il controllo di un account Google personale in cui venivano sincronizzate le credenziali salvate nel browser della vittima. 

Una volta ottenute le credenziali, gli aggressori hanno lanciato attacchi di phishing vocale nel tentativo di indurre la vittima ad accettare la notifica push MFA avviata dall'attaccante.
Dopo aver ottenuto un'accettazione push MFA, l'attaccante ha avuto accesso alla VPN dell'utente preso di mira.

Secondo Talos, una volta ottenuto l'accesso iniziale, l'attaccante ha registrato una serie di nuovi dispositivi per l'autenticazione a più fattori e si è autenticato con successo alla VPN Cisco. Quindi gli attori delle minacce sono passati ai privilegi di amministratori prima di accedere a più sistemi. Gli aggressori sono stati in grado di rilasciare più strumenti nella rete di destinazione, inclusi strumenti di accesso remoto come LogMeIn e TeamViewer, Cobalt Strike, PowerSploit, Mimikatz e Impacket.

Il gruppo ransomware Yanluowang sta tentando di estorcere la società e ha pubblicato un elenco di file rubati alla società che minacciano di far trapelare tutti i dati rubati se Cisco non pagherà il riscatto.