על גורם התקיפה
HAFNIUM primarily targets entities in the United States across a number of industry sectors, including infectious disease researchers, law firms, higher education institutions, defense contractors, policy think tanks, and NGOs. Microsoft Threat Intelligence Center (MSTIC) attributes this campaign with high confidence to HAFNIUM, a group assessed to be state-sponsored and operating out of China, based on observed victimology, tactics and procedures. HAFNIUM has previously compromised victims by exploiting vulnerabilities in internet-facing servers, and has used legitimate open-source frameworks, like Covenant, for command and control. Once they’ve gained access to a victim network, HAFNIUM typically exfiltrates data to file sharing sites like MEGA.In campaigns unrelated to these vulnerabilities, Microsoft has observed HAFNIUM interacting with victim Office 365 tenants. While they are often unsuccessful in compromising customer accounts, this reconnaissance activity helps the adversary identify more details about their targets’ environments. HAFNIUM operates primarily from leased virtual private servers (VPS) in the United States.
תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.מידע נוסף מהמקורות
HAFNIUM is a likely state-sponsored cyber espionage group operating out of China that has been active since at least January 2021. HAFNIUM primarily targets entities in the US across a number of industry sectors, including infectious disease researchers, law firms, higher education institutions, defense contractors, policy think tanks, and NGOs. HAFNIUM has targeted remote management tools and cloud software for intial access and has demonstrated an ability to quickly operationalize exploits for identified vulnerabilities in edge devices.
Microsoft עוקבת אחר פעילות זו בשם Silk Typhoon. השיוך המדינתי ברשימה: סין. כינויים וקבוצות פעילות מקבילות שמופיעים במיפוי: HAFNIUM · MURKY PANDA · timmy. זהו מיפוי של הספק ואינו קובע שכל הכינויים מתארים פעילות זהה.
כלים ונוזקות שדווחו
6שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.
שיטות פעולה לפי MITRE ATT&CK (44)
טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.
מקורות ומחקרים
18הפניות מהפרופילים ומפרסומי מחקר. ברשומות ללא כותרת מקורית, שם הקישור נגזר מכתובת הפרסום. תאריך מוצג רק כשזמין.
- MITRE ATT&CK
מחקר / פרסום של MITRE ATT&CK
לפרסום המקורי - Microsoft
hafnium targeting exchange servers
לפרסום המקורי - Volexity
active exploitation of microsoft exchange zero day vulnerabilities
לפרסום המקורי - Splunk
detecting hafnium exchange server zero day activity in splunk
לפרסום המקורי - FireEye / Mandiant
detection response to exploitation of microsoft exchange zero day vulnerabilities
לפרסום המקורי - CISA
aa21 062a
לפרסום המקורי - Elastic
266289
לפרסום המקורי - GitHub · microsoft
Security
לפרסום המקורי - CrowdStrike
falcon complete stops microsoft exchange server zero day exploits
לפרסום המקורי - Microsoft
microsoft exchange server vulnerabilities mitigations march 2021
לפרסום המקורי - Huntress
rapid response mass exploitation of on prem exchange servers
לפרסום המקורי - GitHub · microsoft
exchange iis worker dropping webshell.md
לפרסום המקורי
קשרים שדווחו
0קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.
אין כרגע קשר מתועד לקבוצה אחרת במקורות שנקלטו.