En primer lugar, el CTI recoge un comunicado conjunto de la CISA, el FBI y el MS-ISAC sobre el ataque sufrido el año pasado contra la red de una agencia federal civil del poder ejecutivo (FCEB) cuyo nombre no se ha revelado. A continuación, CTI analiza un informe conjunto reciente de Mandiant y Fortinet sobre una serie de ataques dirigidos a organizaciones gubernamentales, en los que los atacantes aprovecharon una vulnerabilidad de día cero de Fortinet (CVE-2022-41328) para desplegar dos nuevas variantes de malware. Por último, CTI concluye con un análisis de una nueva campaña atribuida al grupo de amenazas persistentes avanzadas (APT) Tick, que, según se informa, ha tenido como objetivo una empresa de Asia Oriental especializada en el desarrollo de software de prevención de pérdida de datos (DLP).
1. Una agencia federal de EE. UU. ha sido víctima de un ataque informático en el que se ha aprovechado una antigua vulnerabilidad de Telerik para sustraer datos
Según un aviso conjunto de «» publicado por la CISA, el FBI y el MS-ISAC (se abre en una nueva pestaña), el servidor web Microsoft Internet Information Services (IIS) de una agencia federal de EE. UU. fue objeto de un ataque informático en 2022 , cuando el atacante aprovechó una vulnerabilidad crítica de deserialización de .NET (CVE-2019-18935 (se abre en una nueva pestaña)) que afectaba al componente AJAX «Progress Telerik UI for » de ASP.NET (se abre en una nueva pestaña) componente AJAX.
Tal y como se explica en el aviso conjunto, los atacantes tuvieron acceso al servidor entre el November 2022 y principios del January 2023 , según los indicadores de compromiso (IOC) encontrados en la red de la agencia del poder ejecutivo civil federal (FCEB), cuyo nombre no se ha revelado.
De BleepingComputer:
Tras acceder ilegalmente al servidor de la agencia federal civil del poder ejecutivo (FCEB), cuya denominación no se ha revelado, instalaron cargas maliciosas en la carpeta C:\Windows\Temp\ con el fin de recopilar y extraer información hacia servidores de mando y control controlados por los atacantes.
El malware instalado en el servidor IIS afectado podría desplegar cargas útiles adicionales, eludir la detección borrando sus rastros del sistema y abrir shells inversos para mantener su persistencia.
El malware en cuestión también podría utilizarse para instalar un shell web ASPX, lo que proporcionaría a los atacantes una interfaz que les permitiría navegar por el sistema local, descargar y cargar archivos, así como ejecutar comandos de forma remota. No obstante, tal y como se detalla en el aviso, «no se observó que se hubieran instalado webshells en el sistema de destino, probablemente debido a que la cuenta de servicio utilizada indebidamente tenía permisos de escritura restrictivos».
El malware instalado en los servidores IIS afectados se analiza con mayor detalle en un informe de análisis de malware de , titulado « » (se abre en una nueva pestaña), publicado simultáneamente por la CISA.
Vulnerabilidades afectadas
Según ha informado la CISA, CVE-2019-18935, una vulnerabilidad de deserialización de .NET presente en una instancia de Telerik UI for AJAX Q2 2013 SP1 (versión 2013.2.717) que se ejecutaba en el servidor Microsoft IIS de una agencia de la FCEB fue explotada con éxito durante el ataque.
La vulnerabilidad en cuestión proporcionó a los atacantes acceso interactivo al servidor web y les permitió ejecutar con éxito código remoto en el servidor web vulnerable.
De la CISA:
Aunque el escáner de vulnerabilidades de la agencia contaba con el complemento adecuado para la vulnerabilidad CVE-2019-18935, no logró detectarla debido a que el software Telerik UI estaba instalado en una ruta de archivo que normalmente no se analiza.
La CISA ha añadido la vulnerabilidad de seguridad « CVE-2019-18935 Progress Telerik UI» a su catálogo de vulnerabilidades explotadas conocidas (KEV) en November 2021. El aviso añade que es posible que otras vulnerabilidades hayan influido en el incidente.
Actores maliciosos y técnicas utilizadas
Según BleepingComputer, al menos dos actores maliciosos —uno de ellos el grupo vietnamita XE Group, (se abre en una nueva pestaña) — lograron acceder al servidor sin parches y ejecutar código de forma remota aprovechando el fallo de seguridad de CVE-2019-18935 . (se abre en una nueva pestaña) Las conclusiones clave de la operación son las siguientes:
- Se observó que XE Group llevaba a cabo un tipo de actividad de reconocimiento y análisis compatible con la explotación exitosa de la vulnerabilidad CVE-2019-18935 en el servidor IIS de la agencia.
- Durante la explotación de la vulnerabilidad, se observó que los autores del ataque subían archivos DLL maliciosos camuflados como archivos PNG al directorio C:\Windows\Temp\.
- A continuación, los archivos maliciosos se ejecutaron desde el directorio C:\Windows\Temp\ a través del proceso the w3wp.exe, un proceso legítimo que se ejecuta en los servidores IIS. Este proceso forma parte de la rutina habitual para gestionar las solicitudes enviadas a los servidores web y proporcionar contenido. Según la CISA, el análisis de los registros antivirus reveló que algunos archivos DLL se crearon y detectaron ya en August 2021.
Además, los archivos maliciosos depositados en el servidor IIS comprometido presentaban una convención de nomenclatura de archivos coherente con informes anteriores, según los cuales los autores de las amenazas suelen recurrir a dicho esquema al aprovechar la vulnerabilidad CVE-2019-18935.
De la CISA:
Los autores de las amenazas nombran los archivos en el formato de tiempo «Unix Epoch» y utilizan la fecha y la hora tal y como figuran registradas en el sistema de destino. La convención de nomenclatura de los archivos sigue el patrón [10 dígitos].[7 dígitos].dll (por ejemplo, un archivo creado el October 31, 2022 podría llamarse be 1667203023.5321205.dll).
En numerosas ocasiones, los indicios que cabría esperar encontrar durante una investigación de este tipo de actividad no estaban disponibles para su análisis debido a que el malware de los autores de las amenazas los había eliminado. Según se ha informado, el malware en cuestión busca y elimina los archivos con la extensión .dll del directorio C:\Windows\Temp\.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Además de aplicar parches al software con regularidad, es igualmente importante asegurarse de que los archivos DLL estén vinculados a rutas de archivo que las medidas de seguridad, los programas antivirus y las soluciones para terminales analicen periódicamente en busca de archivos anómalos y cualquier otro elemento fuera de lugar». Es igualmente importante asegurarse de que los mecanismos de defensa estén configurados para analizar las rutas de los archivos que suelen utilizar los autores de amenazas.
De BleepingComputer:
La CISA, el FBI y el MS-ISAC recomiendan aplicar diversas medidas de mitigación para protegerse frente a otros ataques dirigidos a esta vulnerabilidad; entre las más destacadas se incluyen:
- Actualice todas las instancias de Telerik UI ASP.NET (se abre en una nueva pestaña) AJAX a la última versión tras haber realizado las pruebas pertinentes.
- Supervise y analice los registros de actividad generados por Microsoft IIS y PowerShell remoto.
- Limite las cuentas de servicio a los permisos mínimos necesarios para ejecutar los servicios.
- Priorice la corrección de las vulnerabilidades en los sistemas conectados a Internet.
- Implemente una solución de gestión de parches para garantizar el cumplimiento de los últimos parches de seguridad.
- Asegúrese de que los escáneres de vulnerabilidades estén configurados para analizar un amplio abanico de dispositivos y ubicaciones.
- «Implemente la segmentación de la red para separar los segmentos de la red en función de su función y funcionalidad».
«La CISA, el FBI y el MS-ISAC recomiendan asimismo someter a prueba, simular y validar los programas de seguridad frente a los comportamientos de amenaza asociados al marco « » de MITRE ATT&CK for Enterprise mencionado en el aviso».
2. Un presunto actor chino utiliza una vulnerabilidad «zero-day» de Fortinet y malware personalizado en una operación de espionaje
Según Mandiant, se ha relacionado a un presunto actor malicioso chino, presuntamente respaldado por el Estado, con una serie de ataques dirigidos contra organizaciones gubernamentales, durante los cuales los atacantes aprovecharon una vulnerabilidad de día cero de Fortinet en (se abre en una nueva pestaña) (CVE-2022-41328) para desplegar malware.
La vulnerabilidad de seguridad de día cero en cuestión, la número CVE-2022-41328, fue revelada por Fortinet (se abre en una nueva pestaña) en un aviso reciente en el que se indicaba (se abre en una nueva pestaña) que:
«Una [sic] limitación incorrecta de una ruta de acceso a un directorio restringido («traversal de ruta») [CWE-22] en FortiOS podría permitir que un atacante con privilegios leyera y escribiera archivos arbitrarios mediante comandos de la interfaz de línea de comandos (CLI) manipulados...»
Fortinet ha publicado actualizaciones de seguridad para solucionar la vulnerabilidad de alta gravedad, que podría permitir a los atacantes ejecutar código o comandos no autorizados. El aviso no hacía mención alguna al aprovechamiento del fallo en entornos reales, pero un informe de Fortinet publicado hace aproximadamente dos semanas reveló que se habían utilizado CVE-2022-41328 exploits para piratear y dejar fuera de servicio varios dispositivos de cortafuegos FortiGate (se abre en una nueva pestaña) pertenecientes a uno de sus clientes —el mismo incidente que ocupa un lugar central en el último informe de Mandiant, en el que la empresa reconoce haber colaborado con Fortinet para investigar la explotación y el despliegue de malware en diversas soluciones de Fortinet.
¿Qué se ve afectado?
Según Fortinet, las siguientes versiones de FortiOS se ven afectadas:
- Versiones 6.4.0 a 6.4.11
- Versiones 7.0.0 a 7.0.9
- Versiones 7.2.0 a 7.2.3
- Todas las versiones de FortiOS 6.0 y 6.2
Detalles del ataque
Según el informe de Mandiant, los ataques tuvieron lugar a mediados de 2022. El análisis de la actividad posterior a la explotación asociada a un caso concreto reveló que el malware desplegado por el presunto actor chino —con la ayuda, en gran medida, de la vulnerabilidad CVE-2022-41328 — podía utilizarse con fines de ciberespionaje, exfiltración de datos, apertura de sesiones remotas y descarga y escritura de archivos en dispositivos comprometidos.
Los ataques han tenido un carácter muy selectivo, y entre las víctimas se encuentran redes gubernamentales y grandes organizaciones.
¿Quién es UNC3886?
UNC3886 es un grupo del que Mandiant sospecha que tiene vínculos con China y que se ha relacionado con el novedoso marco de malware para el hipervisor VMware ESXi denominado «» (se abre en una nueva pestaña), tal y como se reveló en September 2022.
En el momento en que se produjeron las intrusiones en el hipervisor ESXi, Mandiant observó que se establecieron UNC3886 conexiones directas desde dispositivos FortiGate y FortiManager hacia , VIRTUALPITA, (se abre en una nueva pestaña),y , a través de puertas traseras, en múltiples ocasiones.
Los atacantes demostraron un alto grado de sofisticación y «capacidades avanzadas».
«El ataque es muy selectivo y presenta algunos indicios de que se dirige preferentemente contra objetivos gubernamentales o relacionados con el Gobierno», ha señalado Fortinet. «La vulnerabilidad requiere un profundo conocimiento de FortiOS y del hardware subyacente. Los implantes personalizados demuestran que el actor cuenta con capacidades avanzadas, entre las que se incluye la ingeniería inversa de diversas partes de FortiOS.
Los objetivos de estos ataques coinciden con los patrones recientes observados en los actores de ciberespionaje respaldados por el Estado chino.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Sin duda, esta actividad maliciosa presenta todas las características propias de una operación patrocinada por un Estado y, tal y como se ha señalado anteriormente, los patrones de selección de objetivos observados, las capacidades avanzadas y el uso de un exploit de día cero podrían ser indicativos, sin lugar a dudas, de la participación de un APT chino». Parece que fue un golpe de suerte lo que alertó a los investigadores de la presencia de este actor en primer lugar. Si se trata de la obra de un atacante vinculado a China que utiliza la técnica « » (), esto no resulta sorprendente, ya que muchos de los colectivos de piratas informáticos respaldados por el Estado de ese país son conocidos por su discreción y han demostrado ser capaces de llevar a cabo intrusiones que se prolongan durante varios años. «CTI seguirá de cerca esta noticia».
3. Tick APT se centra en los clientes de alto valor de una empresa de prevención de pérdida de datos de Asia Oriental
ESET afirma que una nueva campaña atribuida al grupo APT « » ( , se abre en una nueva pestaña) () ( ) tenía como objetivo una empresa de Asia Oriental dedicada al desarrollo de software de prevención de pérdida de datos (DLP).
Según ESET, el grupo se hizo con el control de los servidores internos de actualizaciones de la empresa para distribuir malware e instaladores troyanizados de herramientas legítimas que utiliza la empresa. Los instaladores infectados con troyanos se enviaron a dos de los clientes de la empresa a través de un programa de asistencia remota.
Acerca de Tick
- Tick, también conocido como , Bronze Butler, (se abre en una nueva pestaña),y , es un grupo de ciberespionaje del que se cree que tiene origen chino.
- Se cree que el grupo, denominado «», ha estado (se abre en una nueva pestaña) en activo desde al menos el año 2006, centrándose principalmente en la región de Asia-Pacífico.
- Tick utiliza un arsenal de malware personalizado diseñado para garantizar la persistencia, el reconocimiento, la exfiltración de datos y la descarga de herramientas adicionales.
- Anteriormente se había observado que Tick (se abre en una nueva pestaña) aprovechaba la vulnerabilidad ProxyLogon.
Resumen del ataque
Aproximadamente al mismo tiempo que Tick aprovechaba la vulnerabilidad ProxyLogon, se observó que la operación conseguía acceder a una empresa de desarrollo de software de Asia Oriental. La campaña utilizó malware y sustituyó los instaladores de una aplicación legítima, Q-dir, por versiones infectadas con troyanos para introducir una puerta trasera denominada ReVBShell.
Esta actividad provocó que dos de los clientes de la empresa se vieran afectados, al transferirse el malware a través de un programa de asistencia remota. Los investigadores creen que esto ocurrió mientras la empresa DLP prestaba asistencia técnica a dichos clientes.
Cronología del ataque
En el caso « March 2021», el autor del ataque instaló software malicioso en varios equipos de la empresa de DLP. El malware incluía variantes de las familias Netboy y Ghostdown, así como un programa de descarga hasta entonces desconocido denominado ShadowPy.
A continuación, se introdujeron en la red copias infectadas con troyanos de los instaladores de Q-dir. Meses más tarde, estos instaladores infectados con troyanos se distribuyeron a los clientes de la empresa DLP.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Independientemente de si era esa la intención de los atacantes o no, esta campaña dio lugar a la transferencia de instaladores infectados con troyanos a dos de los clientes de la empresa.» No está claro exactamente cómo ocurrió esto, pero se cree que tuvo lugar durante una sesión de asistencia técnica entre la empresa y sus clientes, en la que se utilizaron herramientas de asistencia remota como ANYSUPPORT y helpU.
«Los investigadores no creen que un ataque del tipo «cadena de suministro» fuera el objetivo principal de la campaña, sino más bien una consecuencia indirecta de sus operaciones». Al fin y al cabo, lo que importa son los resultados, y el hecho de que se haya podido producir un ataque a la cadena de suministro (quizás de forma accidental) pone de manifiesto que este tipo de incidentes siguen representando una amenaza real para las empresas».
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
