Ransomware

Iranian Cyber Actors’ Brute Force and Credential Access Activity Compromises Critical Infrastructure Organizations

Fonte ufficiale

Sintesi operativa EudorIA

Cosa significa

Priorità 90/100

CISA Cybersecurity Advisories ha pubblicato un advisory sul ransomware Iranian Cyber Actors’ Brute Force and Credential Access Activity Compromises Critical Infrastructure Organizations. Le misure indicate vanno confrontate con esposizione, identita, segmentazione e capacita di ripristino.

Perché conta

L'advisory descrive attivita ransomware osservate e misure difensive pubblicate da un'autorita. Non prova che il proprio perimetro sia compromesso, ma richiede una verifica prioritaria di esposizione e controlli.

Azioni consigliate

Verificare e correggere con priorita i sistemi Internet-facing indicati dalla fonte; applicare MFA resistente al phishing, segmentazione e backup offline immutabili con prove di ripristino.
Verificare sistemi esposti, accessi remoti e versioni rispetto all'advisory ufficiale.
Confermare che backup offline e immutabili siano separati e ripristinabili.
Correlare TTP e IOC pubblicati con la telemetria autorizzata del proprio perimetro.

Benefici operativi potenziali

Prioritizzazione delle esposizioni Internet e delle vulnerabilita sfruttate
Verifica dei controlli su accessi remoti, movimento laterale ed esfiltrazione
Validazione documentata della capacita di ripristino

Indicazioni da confermare sul perimetro tecnico e organizzativo del cliente.

Controlli pertinentiVulnerability managementIdentity and access managementNetwork segmentationBackup and recoveryDetection and response

DestinatariITSOCCISOManagement

Centro informazioni

Traduzione in elaborazione

CISA

Il contenuto ufficiale è disponibile nella lingua originale. La versione italiana verrà pubblicata al termine dei controlli automatici.

Testo acquisito dalla fonte

Cybersecurity Advisory Iranian Cyber Actors’ Brute Force and Credential Access Activity Compromises Critical Infrastructure Organizations Release Date October 16, 2024 Alert Code AA24-290A Related topics: Cybersecurity Best Practices , Multifactor Authentication , Organizations and Cyber Safety Summary The Federal Bureau of Investigation (FBI), the Cybersecurity and Infrastructure Security Agency (CISA), the National Security Agency (NSA), the Communications Security Establishment Canada (CSE), the Australian Federal Police (AFP), and Australian Signals Directorate's Australian Cyber Security Centre (ASD's ACSC) are releasing this joint Cybersecurity Advisory to warn network defenders of Iranian cyber actors’ use of brute force and other techniques to compromise organizations across multiple critical infrastructure sectors, including the healthcare and public health (HPH), government, information technology, engineering, and energy sectors. The actors likely aim to obtain credentials and information describing the victim’s network that can then be sold to enable access to cybercriminals. Since October 2023, Iranian actors have used brute force, such as password spraying, and multifactor authentication (MFA) ‘push bombing’ to compromise user accounts and obtain access to organizations. The actors frequently modified MFA registrations, enabling persistent access. The actors performed discovery on the compromised networks to obtain additional credentials and identify other information that could be used to gain additional points of access. The authoring agencies assess the Iranian actors sell this information on cybercriminal forums to actors who may use the information to conduct additional malicious activity. This advisory provides the actors’ tactics, techniques, and pr

Indicatori CISA verificabili

76 valori IOC dalla fonte ufficiale. Non sono una lista di blocco automatica: verificare data, contesto e applicabilita.

Ultima verifica: 2026-09-25T23:35:32.033363+00:00

Scarica STIX 2.1

Tipo	Indicatore (non cliccabile)	File
ipv4-addr	`191[.]96[.]150[.]50`
ipv4-addr	`46[.]246[.]3[.]245`
ipv4-addr	`46[.]246[.]3[.]223`
ipv4-addr	`188[.]126[.]89[.]35`
ipv4-addr	`46[.]246[.]3[.]239`
ipv4-addr	`46[.]246[.]3[.]233`
ipv4-addr	`146[.]70[.]102[.]3`
ipv4-addr	`46[.]246[.]122[.]185`
ipv4-addr	`191[.]96[.]227[.]102`
ipv4-addr	`95[.]181[.]235[.]8`
ipv4-addr	`46[.]246[.]8[.]84`
ipv4-addr	`191[.]96[.]150[.]21`
ipv4-addr	`149[.]57[.]16[.]150`
ipv4-addr	`191[.]96[.]227[.]159`
ipv4-addr	`191[.]96[.]106[.]33`
ipv4-addr	`154[.]6[.]13[.]139`
ipv4-addr	`84[.]239[.]25[.]13`
ipv4-addr	`46[.]246[.]8[.]10`
ipv4-addr	`191[.]96[.]150[.]96`
ipv4-addr	`191[.]96[.]150[.]14`
ipv4-addr	`154[.]16[.]192[.]37`
ipv4-addr	`46[.]246[.]8[.]53`
ipv4-addr	`46[.]246[.]8[.]67`
ipv4-addr	`89[.]149[.]38[.]204`
ipv4-addr	`188[.]126[.]94[.]166`
ipv4-addr	`154[.]6[.]13[.]151`
ipv4-addr	`154[.]6[.]13[.]144`
ipv4-addr	`188[.]126[.]94[.]57`
ipv4-addr	`181[.]214[.]166[.]132`
ipv4-addr	`191[.]96[.]227[.]113`
ipv4-addr	`156[.]146[.]60[.]74`
ipv4-addr	`102[.]129[.]152[.]60`
ipv4-addr	`46[.]246[.]3[.]196`
ipv4-addr	`102[.]129[.]153[.]182`
ipv4-addr	`191[.]101[.]217[.]10`
ipv4-addr	`46[.]246[.]3[.]240`
ipv4-addr	`46[.]246[.]3[.]225`
ipv4-addr	`46[.]246[.]8[.]47`
ipv4-addr	`102[.]165[.]16[.]127`
ipv4-addr	`154[.]16[.]192[.]38`
ipv4-addr	`37[.]19[.]197[.]182`
ipv4-addr	`46[.]246[.]8[.]17`
ipv4-addr	`46[.]246[.]8[.]141`
ipv4-addr	`46[.]246[.]3[.]186`
ipv4-addr	`37[.]46[.]113[.]206`
ipv4-addr	`46[.]246[.]8[.]104`
ipv4-addr	`84[.]239[.]45[.]17`
ipv4-addr	`45[.]88[.]97[.]225`
ipv4-addr	`95[.]181[.]234[.]15`
ipv4-addr	`46[.]246[.]8[.]82`
ipv4-addr	`212[.]102[.]57[.]29`
ipv4-addr	`46[.]246[.]8[.]137`
ipv4-addr	`149[.]57[.]16[.]37`
ipv4-addr	`149[.]57[.]16[.]160`
ipv4-addr	`46[.]246[.]8[.]138`
ipv4-addr	`102[.]129[.]235[.]186`
ipv4-addr	`149[.]57[.]16[.]137`
ipv4-addr	`149[.]57[.]16[.]134`
ipv4-addr	`181[.]214[.]166[.]59`
ipv4-addr	`188[.]126[.]94[.]60`
ipv4-addr	`102[.]129[.]235[.]127`
ipv4-addr	`172[.]98[.]71[.]191`
ipv4-addr	`95[.]181[.]234[.]25`
ipv4-addr	`95[.]181[.]234[.]12`
MD5	`b27c2e0141bbb3a7907a5ec1863e1465`	ShareAudit.exe
SHA-1	`1f96d15b26416b2c7043ee7172357af3afbb002a`	ShareAudit.exe
SHA-256	`09407d2e3ac7d6af13c407d17ec8e51b6d1b1d8271df65ebd0b3ffbab420b2fe`	ShareAudit.exe
SSDEEP	`12288:qQM/6y0bWGp3ppJS9q++7jEoFLCTuqvZCFP8j9Z7IMv43I+sx5U4MZ9B7vX:qQAFtH0jECC9vYx8wMv43I+0a7/`	ShareAudit.exe
ipv4-addr	`46[.]246[.]3[.]226`
ipv4-addr	`149[.]40[.]50[.]45`
MD5	`a30ffebf2c87a6dfd4946213263f2760`
SHA-1	`3d3cdf7cfc881678febcafb26ae423fe5aa4efec`
SHA-256	`b729962dd554dc2cba31ac9f7b9046eb119e7b4ae299d674f65ee9eba5679d62`
ipv4-addr	`191[.]96[.]227[.]122`
ipv4-addr	`212[.]102[.]39[.]212`
ipv4-addr	`173[.]239[.]232[.]20`

Provenienza

Allegato ufficiale CISA · 2024-10-02T13:56:25Z

SHA-512: 5575fb4836d884e881959aa4f039cb00863c39f184b80641b4259c2ff50edf05a314e6857aab259352b14fe36de2fe1b93737c188a25458ddaade97e62d4b0b4

Fonte: CISA Cybersecurity Advisories
Entità pubblicatrice: CISA
Tipo entità: Autorità nazionale
Area: North America · US
Lingua originale: en · traduzione in preparazione
Pubblicazione: 16/10/2024 14:00
Condivisione: TLP:CLEAR
MITRE ATT&CK: T1005, T1018, T1021.001, T1059.001, T1068, T1069.002, T1069.003, T1071.001, T1078, T1078.004, T1082, T1087.002, T1098.005, T1105, T1110, T1110.003, T1133, T1202, T1482, T1484.002, T1555, T1556, T1556.006, T1558.003, T1572, T1588.002, T1589, T1621
CVE: CVE-2020-1472
Classificazione: Critica
Paese indicato: US

Perimetro tecnico

Prodotti e versioni interessati

Verifica in corso

Informazione non ancora acquisita.

Il collector verificherà NVD e gli advisory vendor ufficiali disponibili.

Azione indicata dalla fonte

Verificare e correggere con priorita i sistemi Internet-facing indicati dalla fonte; applicare MFA resistente al phishing, segmentazione e backup offline immutabili con prove di ripristino.

Riferimenti tecnici ufficiali

Apri la fonte originale