Xe cambia del desbordamiento de las cartas a los ataques de la cadena de suministro

Un grupo de delitos cibernéticos, que se ha conectado durante mucho tiempo a Credit Cardief, se ha expandido a información específica que roba las organizaciones de la cadena de suministro en el sector de fabricación y ventas.

En algunos de estos nuevos ataques, el jugador de amenazas, que varios proveedores siguen como un grupo XE y a Vietnam, ha utilizado dos puntos débiles de cero día en la plataforma de gestión de almacenes de Veracore para instalar proyectiles web para la ejecución de una variedad de acciones maliciosas .

Expertos de día cero en Veracore

En Un informe conjunto Esta semana, los investigadores de Intezer y Solis describieron la actividad que observaron recientemente como un signo de la mayor amenaza para el grupo para las organizaciones.

«El desarrollo del grupo XE de las operaciones de descremado de tarjetas de crédito al uso de los puntos débiles en puntos débiles de día cero subraya su adaptabilidad y su creciente sofisticación», escribieron los investigadores. «Al alinear las cadenas de suministro en los sectores de fabricación y distribución, el grupo XE no solo maximiza los efectos de su empresa, sino que también muestra una comprensión aguda de las debilidades sistémicas».

El Grupo XE es probablemente un jugador de amenaza vietnamita que varios proveedores, incluidos Malwarebytes, Voltexity y Menlo Security, han estado siguiendo durante años. El grupo apareció por primera vez en 2013 y se conocía principalmente hasta al menos a fines de 2024 que utilizaron debilidades web para proporcionar malware para los números de tarjetas de crédito y los datos asociados de los sitios web de comercio electrónico.

En junio de 2023, la Autoridad de Seguridad de Infraestructura de los Estados Unidos y la Autoridad de Seguridad de Infraestructura (CISA) Grupo XE identificado Como uno de los varios actores de amenaza que usan las debilidades que hacen servidores estatales y remotos en los trabajadores en el software Telerik en servidores IIS y comandos remotos. Uno de los puntos débiles que CISA identificó en su informe (CVE-2017-9248) era lo mismo que MalwareBytes, el grupo XE observó por primera vez en 2020 en ataques de habilidades de cartas dirigidas ASP.NET -SITES. Esta campaña, como encontraron Intezer y Solis en su informe, era notable que se concentró en el sitio web de ASP.NET, que rara vez se dirigían en ese momento. En 2023, Seguridad de Menlo Se informó que el grupo XE utiliza varias estrategias, incluidos los ataques de la cadena de suministro para la provisión de cartas de skimmer en los sitios web y la configuración de sitios web falsos para robar datos personales y a la venta en foros subterráneos.

Desde entonces, lo que Solis e Intezer han observado ha sido una expansión continua de las actividades del actor de amenaza, técnicas de explotación y malware. Una de las tácticas de ataque recientes en el grupo incluye la inyección de JavaScript malicioso en los sitios web, el uso de debilidades en productos generalizados y el uso de conchas personalizadas -Web -Cells para obtener acceso al sistema comprometido.

Destinos de ataque cibernético a largo plazo del grupo XE

En varios de los últimos ataques, el jugador de amenazas tiene los dos días veracore-cero (CVE-2024-57968, una susceptibilidad a cargar la validación con un valor de busca pesada de CVSS de 9.9; y CVE 2025-25181, un error de inyección SQL con una gravedad de 5.8) para proporcionar varias redes web en sistemas comprometidos.

«En al menos un caso, los investigadores de Solis e Intenz descubrieron que el jugador de amenaza ya estaba explotando una de la vulnerabilidad de Veracore en enero de 2020 y desde entonces habían mantenido el acceso continuo al entorno en peligro de extinción de la víctima», dijo el informe conjunto. «En 2024, el grupo reactivó un shell web proporcionado originalmente [in January 2020]Haga hincapié en su capacidad de permanecer sin descubrir y contratar objetivos nuevamente. Su capacidad para mantener el acceso persistente a los sistemas … años después de la primera asignación, enfatiza el compromiso del grupo con los objetivos a largo plazo. «

El último cambio en el grupo XE en relación Cadena de entrega de software. Aunque Solarwinds puede continuar dando el ejemplo más conocido, hubo otros ataques importantes en productos y servicios de software generalizados. Los ejemplos son ataques contra el software de progreso de Mveit Herramienta de transferencia de archivos, un Violaciones de Octa que afectó a todos los clientes y una violación de Descripción Como resultado, los atacantes pudieron usar ransomware para algunos clientes de la empresa.