El primer resumen de esta semana es un resumen de una nueva vulnerabilidad de amplificación reflexiva de denegación de servicio (DoS), que afecta un protocolo ampliamente utilizado, que podría abrir la puerta a ataques de DDoS a gran escala. A continuación, CTI analiza una campaña de carga de malware de Bumblebee en la que los actores de amenazas están aprovechando Google Ads para promover versiones troyanas de instaladores para aplicaciones populares. Finalmente, CTI desglosa un informe de Palo Alto sobre una nueva variante del malware PingPull diseñado para dirigirse a los sistemas Linux.
Un nuevo error de SLP puede conducir a ataques masivos de amplificación de DDoS
BitSight describió recientemente una nueva vulnerabilidad de amplificación reflectiva de DoS (se abre en una nueva pestaña) en el Protocolo de ubicación de servicios (SLP) que, según se informa, permite a los actores de amenazas lanzar ataques masivos y distribuidos de denegación de servicio (DDoS) con un factor de amplificación superior a 2,200x.
La vulnerabilidad, CVE-2023-29552 (se abre en una nueva pestaña), permite a los atacantes remotos no autenticados registrar servicios arbitrarios. Esto permite potencialmente a los atacantes aprovechar el tráfico falso del protocolo de datagrama de usuario (UDP) para realizar ataques de DDoS con vectores de amplificación significativos.
Desde BleepingComputadora:
Esta falla, rastreada como CVE-2023-29552, fue descubierta por investigadores de BitSight y Curesec, que dicen que más de 2,000 organizaciones están utilizando dispositivos que exponen aproximadamente 54,000 instancias de SLP explotables para su uso en ataques de amplificación de DDoS.
¿Cuál es el riesgo de CVE-2023-29552?
Según los informes disponibles, los servicios vulnerables incluyen una amplia gama de plataformas, incluidos hipervisores VMWare ESXi, impresoras Konica Minolta, módulos de gestión integrados de IBM, enrutadores Planex, IPMI de SMC y otros.
BitSight determinó que, dada la criticidad de la vulnerabilidad y las posibles consecuencias de una explotación exitosa, la falla de seguridad justificaba la coordinación de los esfuerzos de divulgación pública con la Agencia de Seguridad de Infraestructura y Ciberseguridad (Cybersecurity and Infrastructure Security Agency, CIA), así como con las organizaciones afectadas conocidas. CISA ha lanzado una alerta, que está disponible aquí (se abre en una nueva pestaña).
Como se indica en la cobertura de BleepingComputer, las instancias vulnerables más conocidas se concentran dentro de los Estados Unidos, Gran Bretaña, Japón, Alemania, Canadá, Francia, Italia, Brasil, los Países Bajos y España. Según se informa, una cantidad significativa de dichas instancias son propiedad de varias empresas de Fortune 1000 que operan dentro de las verticales de tecnología, telecomunicaciones, atención médica, seguros, finanzas, hospitalidad y transporte.
SLP y la amenaza de amplificación de DDoS
SLP proporciona un mecanismo de configuración dinámico para aplicaciones dentro de redes de área local (LAN). En última instancia, está diseñado para servir a las redes empresariales con servicios compartidos.
Desde BleepingComputadora:
Service Location Protocol (SLP) es un protocolo de Internet antiguo creado en 1997 para su uso en redes de área local (LAN), lo que permite una fácil conexión y comunicación entre equipos mediante un sistema de servicio disponible a través de UDP y TCP en el puerto 427... Aunque su uso previsto nunca debía estar expuesto en Internet público, las organizaciones han expuesto SLP en decenas de miles de dispositivos a lo largo de los años.
Desafortunadamente, la vulnerabilidad descubierta en el protocolo de larga data, y la naturaleza de SLP en sí, lo convierte en un vehículo perfecto mediante el cual los atacantes no autenticados pueden registrar servicios arbitrarios en servidores SLP. Al manipular el tamaño y el contenido de las respuestas de los servidores objetivo, los atacantes pueden alcanzar potencialmente un factor de amplificación de DDoS máximo de 2,200x.
La cantidad significativa de servidores expuestos en todo el mundo podría permitir a los actores de amenazas realizar campañas DDoS masivas dirigidas a organizaciones privadas, gobiernos e infraestructura crítica, capaces de interrumpir los servicios esenciales o hacer que sean inalcanzables o inutilizables por completo.
¿Qué es un ataque de amplificación de DDoS?
Durante un ataque de amplificación de DDoS (se abre en una nueva pestaña), un perpetrador envía una solicitud con la dirección IP de origen del objetivo a un dispositivo vulnerable. Esto permite que los datos crezcan dentro del servicio abusado, hasta un punto máximo. Luego, transmite una respuesta a la víctima.
Desde la computadora de purga:
Por lo general, el tamaño de un paquete de respuesta típico de un servidor SLP (se abre en una nueva pestaña) está entre 48 y 350 bytes, por lo que sin manipulación, el factor de amplificación puede alcanzar hasta 12x ... Sin embargo, al explotar CVE-2023-29552, es posible aumentar el tamaño de respuesta UDP del servidor registrando nuevos servicios hasta que el búfer de respuesta esté lleno.
Al aumentar con éxito el tamaño de respuesta UDP del servidor, los atacantes pueden lograr un factor de amplificación máximo simplemente convirtiendo una solicitud normalmente pequeña de 29 bytes en una respuesta masiva de 65,000-byte dirigida a un objetivo de elección del atacante.
Cómo proteger su negocio
- Deshabilitar SLP en cualquier sistema público expuesto conectado a Internet.
- Según BleepingComputer, “Se recomienda configurar un firewall que filtre el tránsito en el puerto UDP y TCP 427, que es la entrada principal para la solicitud maliciosa que explota el servicio SLP”.
- VMWare también ha publicado un boletín (se abre en una nueva pestaña) sobre el asunto, aclarando que el problema solo afecta las versiones ESXi anteriores de la plataforma que ya no son compatibles, aconsejando a los administradores que eviten exponerlas a redes no confiables.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Si todo lo que se ha informado resulta verdadero, esta situación representa una amenaza enorme. Se alienta a los profesionales de seguridad a seguir las pautas disponibles según corresponda y hacerlo lo más rápido posible”.
2. Google Ads envía malware BumbleBee utilizado por pandillas de ransomware
Un informe reciente de Secureworks destaca una nueva campaña en la que los actores de amenazas utilizan Google Ads para promocionar versiones troyanizadas de instaladores para aplicaciones populares y entregar el cargador de malware BumbleBee (se abre en una nueva pestaña) a víctimas desprevenidas.
Lo más probable es que el equipo de Conti haya desarrollado BumbleBee para reemplazar la puerta trasera de BazarLoader, a fin de ayudar a los atacantes a acceder a las redes y distribuir ransomware y otras cargas útiles secundarias. Según BleepingComputer, se observó una nueva versión del cargador de malware (se abre en una nueva pestaña) en el comodín September 2022 con una cadena de ataque más sigilosa que aprovecha el marco de PowerSploit y admite la inyección de DLL en la memoria.
Campañas recientes han visto el malware BumbleBee dirigido a la empresa distribuido a través de Google Ads, empleando envenenamiento de optimización de motores de búsqueda (SEO) para crear promociones diseñadas para atraer a los usuarios ansiosos por facilitar la fácil descarga de software popular, como Zoom, Cisco AnyConnect y Citrix Workspace.
Detalles sobre los ataques de malware de BumbleBee
Según la Unidad contra Amenazas (Counter Threat Unit, CTU) de Secureworks, los investigadores observaron que el malware de BumbleBee se distribuyeba a través de instaladores armados para software popular, no solo en las plataformas mencionadas anteriormente, sino también a través de instaladores infectados para el tan publicitado ChatGPT.
Apuntar a ChatGPT es probablemente un intento de los atacantes de aprovechar la controversia generalizada y el interés público en torno al revolucionario chatbot de IA de OpenAI.
La CTU dice tanto en su informe:
La troyanización de instaladores para software que es particularmente tópico (p. ej., ChatGPT) o software comúnmente utilizado por trabajadores remotos aumenta la probabilidad de nuevas infecciones.
Otra campaña observada por los investigadores comenzó con un anuncio en Google que promocionaba una página de descarga fraudulenta de Cisco AnyConnect Secure Mobility Client, creada February 16 y alojada en el dominio de aspecto legítimo, appcisco[.]com.
“Una cadena de infección que comenzó con un anuncio malicioso de Google envió al usuario a esta página de descarga falsa a través de un sitio de WordPress comprometido”, explica el informe de SecureWorks.
La página de inicio falsa solicita al usuario que descargue un instalador de MSI troyano, llamado cisco-anyconnect-4_9_0195.msi, que instala el malware BumbleBee. Tras la ejecución del archivo malicioso, tanto una copia del instalador del programa legítimo como un script malicioso de PowerShell (cisco2.ps1) se copian en el dispositivo de la víctima.
CiscoSetup.exe, el instalador auténtico para AnyConnect, instala la aplicación legítima en el dispositivo del usuario para poner en reposo preventivamente cualquier sospecha por parte del usuario. Desafortunadamente, el script adjunto y debidamente llamado PowerShell instala BumbleBee y comienza su trabajo llevando a cabo actividades maliciosas en el sistema ahora comprometido.
Esto incluye la instalación de una carga útil codificada de malware de BumbleBee, que se carga de manera reflectante en la memoria. Básicamente, esto significa que BumbleBee aún está aprovechando el mismo módulo de marco posterior a la explotación para cargar malware en la memoria, sin activar ninguna campana de alarma por parte de las soluciones de seguridad y antivirus existentes.
Como explica Secureworks, los investigadores de CTU descubrieron paquetes de software adicionales con pares de archivos con nombres similares, como ZoomInstaller.exe/zoom.ps1, ChatGPT.msi/ch.ps1 y CitrixWorkspaceApp.exe/Citrix.ps1.
Amenaza de ransomware inherente
Debido a que los ataques observados que hasta ahora comprenden esta campaña han apuntado a usuarios corporativos, así como al hecho de que BumbleBee históricamente ha sentado las bases para las operaciones de extorsión, existe un alto grado de posibilidad de que los dispositivos infectados durante estos ataques sean vistos por los actores de amenazas como candidatos principales para saltar puntos para las implementaciones de ransomware.
Desde la computadora de purga:
Secureworks examinó detenidamente uno de los ataques recientes de BumbleBee. Descubrieron que el actor de amenazas aprovechó su acceso al sistema comprometido para moverse lateralmente en la red aproximadamente tres horas después de la infección inicial... Las herramientas que los atacantes implementaron en el entorno vulnerado incluyen el conjunto de pruebas de penetración de Cobalt Strike, las herramientas de acceso remoto AnyDesk y DameWare, las utilidades de escaneo de red, un volcado de base de datos AD y un ladrón de credenciales de Kerberos.
Según informes anteriores, el perfil de ataque en juego aquí parece indicar que los operadores del malware buscan proteger puntos de acceso de red confiables desde los cuales pueden cambiar a otros sistemas, exfiltrar información confidencial y, en última instancia, implementar ransomware, o como mínimo, intentar extorsionar a las organizaciones corporativas a las que pertenecen los entornos empresariales comprometidos.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Como explica BleepingComputer, ‘usar anuncios maliciosos de Google o intoxicación por SEO (se abre en una nueva pestaña) para distribuir malware se ha convertido en una táctica común para los ciberdelincuentes. Por ejemplo, en el informe, los investigadores de la Unidad contra Amenazas (Counter Threat Unit™, CTU) describieron búsquedas web legítimas secuestradas por envenenamiento por SEO para infectar los sistemas de las víctimas con Gootloader y anuncios maliciosos de Google Ads que agrupan infostealers como RedLine en instaladores troyanos para aplicaciones de mensajería como Signal”.
“Estas tácticas marcan un cambio significativo con respecto a los métodos de distribución tradicionales de BumbleBee, que consistieron principalmente en campañas de phishing implementadas en ayuda de implementaciones de ransomware. En términos de sigilo y su capacidad para evadir medidas defensivas y soluciones antivirus, BumbleBee supera a muchos de sus pares, como BazarLoader”.
3. Los hackers chinos utilizan nuevas variantes de malware Linux para el espionaje
La unidad 42 de Palo Alto recientemente expuso una nueva variante del malware PingPull (se abre en una nueva pestaña) diseñada para dirigirse a los sistemas Linux.
El malware es utilizado históricamente por el actor de amenazas chino Alloy Taurus, también conocido como Gallium. Palo Alto también descubrió una puerta trasera previamente no documentada durante su investigación conocida como Sword2033.
También conocido como Gallium (se abre en una nueva pestaña), Alloy Taurus es un grupo chino de ciberespionaje patrocinado por el estado que ha estado activo desde al menos 2012. Históricamente, el grupo ha apuntado a empresas de telecomunicaciones, instituciones financieras y entidades gubernamentales en Asia, Europa y África.
El año pasado, se vio al grupo aprovechando un troyano de acceso remoto llamado PingPull (se abre en una nueva pestaña). Durante este tiempo, Palo Alto identificó varias conexiones entre la infraestructura de Alloy Taurus y las entidades objetivo en Afganistán, Australia, Bélgica, Camboya, Malasia, Mozambique, Filipinas, Rusia y Vietnam. Los detalles sobre la variante anterior de Windows de PingPull se pueden encontrar aquí. (Se abre en una nueva pestaña)
La variante PingPull Linux
El March 7, 2023, se cargó una variante de PingPull Linux en VirusTotal. Al momento del informe de Palo Alto, solo tres de cada 62 proveedores consideraban que esta muestra era maliciosa. A pesar de que muchos proveedores consideraron que esta muestra era benigna, un análisis adicional confirmó que esta muestra era una variante Linux del malware PingPull. Esta determinación se tomó en función de la estructura de comunicación HTTP coincidente, los parámetros POST, la clave AES y los comandos de comando y control (C2).
- Tras la ejecución, este ejemplo se configura para comunicarse con el dominio, yrhsywu2009[.]zapto[.]org, a través del puerto 8443 para C2. Aprovecha una biblioteca OpenSSL vinculada estáticamente para interactuar con este dominio a través de HTTPS.
- Luego, la carga útil espera que el servidor C2 responda con datos que son Base64 codificados y cifrados con AES con una clave específica. Esta clave es la misma clave observada en la variante original de Windows PE de PingPull.
- Una vez decodificado, el texto libre se asemeja a los parámetros HTTP. Uno de los parámetros contendrá un solo carácter en mayúsculas entre A y K, así como M, que la carga útil utiliza como valor de comando.
- Después de ejecutar el comando, la carga útil envía los resultados de vuelta al servidor C2 a través de una solicitud HTTPS similar a la solicitud de baliza, pero con Base64 texto cifrado codificado. El controlador de comandos admite la siguiente funcionalidad (que se alinea con las capacidades de China Chopper y las de la variante original de Windows PE PingPull):
Descripción general de la puerta trasera Sword2033
Palo Alto pivotó en el dominio C2 e identificó una muestra adicional que se comunicaba con el mismo dominio.
Al igual que la nueva variante Linux PingPull, este ejemplo se diseñó para conectarse al puerto 8443 a través de HTTPS. Sin embargo, esta muestra es una puerta trasera bastante simple, rastreada ahora como Sword2033.
Esta puerta trasera admite tres funciones básicas, como se ve en la Figura 2:
- Estos tres comandos se mapean a comandos en un segundo controlador de comandos que utiliza comandos A, C, D y M que son idénticos en valor y funcionalidad a los comandos PingPull descritos anteriormente.
- La búsqueda de otras Sword2033 muestras llevó a Palo Alto a una segunda muestra. Esta segunda muestra se observó en July 2022 y está configurada para conectarse a 196[.]216[.]136[.]139, ubicado en Sudáfrica, para sus C2 operaciones.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Alloy Taurus claramente continúa refinando y actualizando su arsenal y ha aumentado su rango de focalización con una nueva variante Linux de PingPull y la nueva puerta trasera Sword2033 . Las similitudes en los controladores de comandos utilizados en la nueva variante PingPull con las utilizadas en la notoria capa web China Chopper, aunque preocupante, no es una sorpresa total dada la frecuencia con la que los actores de amenazas chinos comparten herramientas”.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium para iniciar una conversación.
Para obtener más información, póngase al día con nuestros recientes redondeos de inteligencia sobre amenazas cibernéticas.
