Aanvallers maken misbruik van een kritieke kwetsbaarheid in Apache ActiveMQ om Linux-servers te compromitteren en patchen het lek zodra ze binnen zijn. Dat stelt securitybedrijf Red Canary in een analysde. Apache ActiveMQ is een open source 'message broker' voor het uitwisselen van berichten tussen verschillende applicaties.

Een kritieke remote code execution kwetsbaarheid in de software, aangeduid als CVE-2023-46604, maakt het mogelijk voor aanvallers om willekeurige shellcommando's op systemen uit te voeren. De impact van het lek is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. Eind oktober 2023 verscheen een patch voor de kwetsbaarheid. Een aantal dagen later werd het lek al gebruikt bij ransomware-aanvallen.

Red Canary detecteerde onlangs een aanvalscampagne waarbij aanvallers het Apache ActiveMQ-lek misbruiken voor het compromitteren van cloudgebaseerde Linux-servers. Zodra de aanvallers toegang hebben installeren ze eerst een backdoor om toegang tot het systeem te behouden. Vervolgens downloaden de aanvallers bij Apache de officiële patch voor het ActiveMQ-lek.

Volgens de onderzoekers doen de aanvallers dit vermoedelijk om detectie te voorkomen, bijvoorbeeld via vulnerability scanners die het lek detecteren. Daarnaast moet het voorkomen dat het kwetsbare systeem wordt opgemerkt wanneer andere aanvallers de kwetsbaarheid proberen te misbruiken. De onderzoekers voegen toe dat aanvallers deze techniek, waarbij ze een gebruikt beveiligingslek patchen, in het verleden ook bij andere kwetsbaarheden hebben toegepast. "Het patchen van de kwetsbaarheid heeft geen invloed op hun operatie, aangezien ze al andere manieren hebben geïntroduceerd om toegang te behouden."