Aanvallers hebben eerder dit jaar een zerodaylek in Oracle Solaris gebruikt om bedrijfsnetwerken aan te vallen. Dat laat securitybedrijf FireEye weten dat de aangevallen kwetsbaarheid ontdekte en aan Oracle rapporteerde. Oracle kwam op 20 oktober met een beveiligingsupdate voor het beveiligingslek (CVE-2020-14871), dat op een schaal van 1 tot en met 10 wat betreft de ernst met een 10 is beoordeeld.

Volgens FireEye lukte het de groep aanvallers die van het zerodaylek gebruikmaakte om tussen februari 2018 en september 2020 bij meerdere bedrijven in te breken. Het ging daarbij om telecom-, financiële en consultancybedrijven. Halverwege dit jaar zagen onderzoekers dat de groep van het eerder genoemde Solaris-lek gebruikmaakte om toegang tot bedrijfsnetwerken te krijgen.

Via het zerodaylek in Solaris was het mogelijk om servers op afstand en zonder gebruik van authenticatie te compromitteren. Vervolgens installeerden de aanvallers een backdoor om toegang tot het systeem te behouden. Vanaf de gecompromitteerde server werden andere systemen aangevallen. Op een aantal overgenomen systemen startten de aanvallers een virtual machine die allerlei tools voor verdere aanvallen bevatte, zoals Mimikatz, Procdump en verschillende netwerkscanners.

Met gestolen inloggegevens en verhoogde rechten lukte het de aanvallers vervolgens om zich lateraal door verschillende netwerken te bewegen. Wat precies het doel van de aanvallers was is echter onbekend. De onderzoekers stellen dat ze niet hebben gezien dat er data werd gestolen. In één geval werd er ransomware op het netwerk geïnstalleerd, maar de onderzoekers vermoeden dat dit niet werd gedaan door de aanvallers. Die zouden toegang tot het netwerk aan een andere groep criminelen hebben verkocht.