Атаки методом подбора алгоритмов на бухгалтерское программное обеспечение поразили строительные компании

Строительные компании, использующие Foundation, подвергаются атакам

Хакеры нацеливаются на строительные компании с помощью атак методом подбора, взламывая их сети и выполняя различные команды удаленно. Об этом сообщают исследователи кибербезопасности Huntress, которые недавно наблюдали атаки в реальных условиях.

По словам исследователей, киберпреступники охотятся за Foundation — программным обеспечением, используемым строительными компаниями для бухгалтерского учета и управления проектами. Оно помогает управлять финансами, калькуляцией стоимости работ, расчетом заработной платы и отчетностью, а также предлагает инструменты для отслеживания расходов, управления контрактами и соблюдения отраслевых норм.

Это программное обеспечение также имеет сопутствующее мобильное приложение, и для его правильной работы необходимо настроить Microsoft SQL Server (MSSQL) так, чтобы он был доступен публично через TCP-порт 4243. На этом сервере есть две учетные записи администратора, и во многих случаях пользователи никогда не меняли пароли по умолчанию.

Выполнение команд

Киберпреступники, похоже, воспользовались этой информацией, нацелившись на десятки организаций с помощью атак методом подбора, пытаясь войти в эти учетные записи. Фактически, Huntress обнаружила 35 000 попыток на одном хосте в течение часа. Исследователи заявили, что они увидели «активные нарушения» в организациях, работающих с сантехникой, HVAC, бетоном и т. д.

Получив доступ, злоумышленники пытаются включить функции, которые позволяют им выполнять команды в операционной системе. Некоторые из команд, замеченных исследователями, были направлены на получение сведений о конфигурации сети и информации об оборудовании, ОС и учетных записях пользователей.

Huntress утверждает, что из всех защищаемых ею конечных точек 500 хостов были замечены с запущенным Foundation, 33 из которых имели публично открытые базы данных MSSQL с учетными данными администратора по умолчанию. Исследователи уведомили компанию о своих выводах, но Foundation заявила, что проблема затрагивает только локальные экземпляры. Другими словами, пользователи программного обеспечения должны следить за своей безопасностью. Компания подчеркнула, что не на всех серверах открыт один и тот же порт, и не у всех одинаковые учетные данные по умолчанию.