AnyDesk遭受黑客攻击，客户凭据泄露并在暗网上出售

AnyDesk于2024年2月2日在一份公开声明中证实，它最近遭受了一次网络攻击，黑客可以访问该公司的生产系统。 AnyDesk称：“作为预防措施，我们将撤销我们门户网站 my.anydesk.com 的所有密码，如果使用相同的凭据，我们建议用户更改密码。”据了解，AnyDesk的源代码和私有代码签名密钥在攻击期间被盗。

AnyDesk 是一种远程访问解决方案，允许用户通过网络或互联网远程访问计算机。该程序非常受企业欢迎，企业使用它来提供远程支持或访问托管服务器。

该软件在威胁行为者中也很受欢迎，他们使用它来持续访问受破坏的设备和网络。

该公司报告称拥有17万名客户，包括 7-11、康卡斯特、三星、麻省理工学院、英伟达、西门子和联合国。

AnyDesk被黑

AnyDesk表示，他们在检测到生产服务器上发生事件的迹象后首次得知此次攻击。

在进行安全审计后，他们确定自己的系统受到了损害，并在网络安全公司 CrowdStrike 的帮助下启动了响应计划。

AnyDesk 没有透露有关攻击期间数据是否被盗的详细信息。然而，BleepingComputer 了解到威胁行为者窃取了源代码和代码签名证书。

该公司还证实勒索软件并未参与其中，但除了表示他们的服务器遭到破坏之外，没有透露太多有关此次攻击的信息，该报告主要关注他们如何应对这一事件。

作为回应的一部分，AnyDesk 表示他们已吊销与安全相关的证书，并根据需要修复或更换系统。他们还向客户保证 AnyDesk 可以安全使用，并且没有证据表明最终用户设备受到该事件的影响。

AnyDesk在公开声明中表示：“我们可以确认情况已得到控制，使用 AnyDesk 是安全的。请确保您使用的是最新版本，并带有新的代码签名证书。”

虽然该公司表示没有身份验证令牌被盗，但出于谨慎考虑，AnyDesk 正在撤销其门户网站的所有密码，并建议在其他网站上使用密码时更改密码。

数据在暗网销售

根据Resecurity的博文，在俄罗斯背景的暗网论坛Exploit.in里，用户名为“Jobaaaaa”的账号，提供大量AnyDesk客户凭证出售，该账号注册于2021年。该账号强调——“这些数据非常适合技术支持诈骗和邮件（网络钓鱼）”。

攻击者提供的样本与属于不同消费者和企业的受损访问凭证有关，允许访问 AnyDesk 客户门户网站。该攻击者者提供了18317个账户，以15000美元的加密货币（比特币或者门罗币）支付。作为一项安全措施，攻击者使用*号对密码的部分内容进行了隐藏。他还同意在著名的地下论坛上通过托管方式进行交易。

获取此类数据的来源和方法可能会有所不同，并且取决于特定不良行为者的策略、技术和程序 (TTP)，这种发展创造了一个新的关注领域。例如，暗网参与者可以利用信息窃取者来收集此类信息。在这种情况下，考虑到最新的事件披露，及时重置密码将成为所有客户的强制缓解措施。使用 AnyDesk 的受众包括 IT 管理员，他们经常成为威胁行为者的目标。确保恶意活动不会影响对他们可能拥有特权访问的任何其他关键系统的访问至关重要。

通过访问AnyDesk门户，威胁行为者可以了解有关客户的有意义的详细信息，包括但不限于使用的许可证密钥、活动连接数量、会话持续时间、客户 ID 和联系信息、与帐户关联的电子邮件以及激活远程访问管理软件的主机总数，及其在线或离线状态和 ID。

熟悉该事件的网络犯罪分子可能会急于通过从不同来源获得的暗网将可用的客户凭据货币化，因为他们知道 AnyDesk 可能会采取主动措施来重置其凭据。此类数据对于初始访问代理和熟悉 AnyDesk 的勒索软件团体来说可能非常有价值，AnyDesk 经常被滥用为成功网络入侵后的工具之一。值得注意的是，根据从攻击者处获得的额外上下文，暗网上大多数暴露的帐户都没有启用 2FA。

AnyDesk

根据维基解密，AnyDesk是由AnyDesk Software GmbH公司开发的远程桌面应用程序。该软件程序提供对个人计算机和运行主机应用程序的其他设备的独立于平台的远程访问。 它提供远程控制、文件传输和VPN功能。 但是AnyDesk通常也被恶意用于技术支持诈骗和其他远程访问诈骗。

AnyDesk Software GmbH公司于2014年在德国斯图加特成立，目前在美国、中国和香港设有子公司，并在乔治亚州设有创新中心。