As equipes de segurança da Microsoft descobriram que um grupo de hackers estatal que a empresa chama de Mercury, que aparentemente tem laços com o Irã, vem tentando explorar a vulnerabilidade Zerologon não corrigida nas últimas duas semanas. A vulnerabilidade, que é rastreada como CVE-2020-1472 , recebeu uma pontuação CVSS de 10 – a mais crítica.
Alguns dos outros agentes de ameaças que tentam explorar o Zerologon estão enviando mensagens disfarçadas de atualizações de software para baixar códigos maliciosos em dispositivos para se conectar a um servidor de comando e controle, diz a Microsoft .
Desde agosto, a Microsoft alertou seus usuários para aplicar um patch parcial que a empresa lançou para a vulnerabilidade do Zerologon. Em setembro, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos e outras empresas de segurança começaram a emitir avisos sobre a falha, observando que os agentes de ameaças buscavam tirar proveito de sistemas sem patch.
Segundo o site Bank Info Security, o Mercury, ligado ao Irã, grupo de ameaças persistentes avançadas, também conhecido como MuddyWater , Static Kitten e Seedworm, é conhecido principalmente por ter como alvo vítimas no Oriente Médio, mas também lançou campanhas de espionagem contra organizações nos EUA e na Índia, de acordo com relatórios de segurança.
O grupo, que está ativo desde 2017, usa uma ampla variedade de táticas e ferramentas contra seus alvos (veja: MuddyWater APT Group atualiza táticas para evitar detecção ).
“Com o passar dos anos, os iranianos quase se especializaram em tirar vantagem das vulnerabilidades de tecnologia remota, mais notavelmente os problemas da Citrix no ano passado”, disse Hoffman ao Information Security Media Group. “Eles também são notórios por visar produtos da Microsoft ao mesmo tempo, embora visar a Microsoft certamente não tenha exclusividade”.