Un attacco multi-fase su dispositivi Linux ha iniziato con un F5 BIG-IP esposto, utilizzato come punto di ingresso per accedere a un server Confluence interno. L'attaccante ha tentato un attacco di relay Kerberos per muoversi lateralmente e rubare credenziali. Microsoft Defender ha rilevato attività sospette, bloccando l'accesso e interrompendo il processo di compromissione. Questo caso illustra come le PMI possano essere vulnerabili anche attraverso dispositivi edge non protetti.
Fasi dell'attacco
- Fase 1: L'attaccante ha sfruttato un F5 BIG-IP non aggiornato per ottenere accesso iniziale.
- Fase 2: Attraverso il Confluence, ha eseguito comandi per esfiltrare credenziali e installare strumenti di persistenza.
- Fase 3: Tentativo di relay Kerberos per accedere a sistemi interni, bloccato da Defender.
Microsoft Defender ha identificato comportamenti anomali, come l'esecuzione di comandi non autorizzati e l'accesso a risorse sensibili. L'analisi ha mostrato che l'attaccante aveva utilizzato strumenti open-source per mascherare le attività.
Consigli per PMI e MSP
Per prevenire attacchi simili, le PMI dovrebbero:
- Proteggere dispositivi edge come F5 con firewall aggiornati e monitoraggio continuo.
- Limitare l'accesso a server come Confluence a utenti autorizzati e applicare principi di minima privilegi.
- Utilizzare soluzioni di rilevamento come Microsoft Defender per identificare attività sospette in tempo reale.
L'incidente evidenzia l'importanza di una strategia di sicurezza integrata, anche per ambienti con risorse limitate.
