Esta semana, les ofrecemos la información más reciente sobre « CVE-2022-41352», un fallo de ejecución remota de código (RCE) que permite a los atacantes introducir «web shells» y otro contenido arbitrario en los servidores de Zimbra Collaboration Suite (ZCS).
Asimismo, destacamos una nueva variante de Ursnif que representa la última etapa en la evolución de esta familia de malware, que ha pasado de ser un simple troyano bancario a convertirse en una amenaza capaz de facilitar ataques de ransomware y de robo de datos.
Por último, concluimos con un resumen sobre una puerta trasera de PowerShell que se disfraza como parte de un proceso legítimo de actualización de Windows.
1. 900 servidores (y la cifra sigue aumentando) han sido pirateados a través de una vulnerabilidad de Zimbra
Según Kaspersky, un ataque a Zimbra ha provocado el compromiso de aproximadamente 900 servidores como consecuencia de que diversos actores de amenazas cibernéticas (entre los que se incluyen lo que los expertos del sector han denominado «APT avanzadas») hayan detectado y aprovechado una vulnerabilidad crítica en la suite de colaboración Zimbra de (ZCS) (se abre en una nueva pestaña) —una falla que existió como vulnerabilidad de día cero sin parche durante casi 1.5 meses—.
El fallo de seguridad, registrado con el número CVE-2022-41352, es una vulnerabilidad de ejecución remota de código (RCE) que permite a los atacantes instalar «web shells» en los servidores ZCS y eludir los controles antivirus mediante un archivo adjunto malicioso que acompaña a un correo electrónico enviado por el atacante.
La vulnerabilidad se notificó por primera vez en September 10, 2022 por un usuario de , en los foros oficiales de Zimbra (se abre en una nueva pestaña), quien publicó que su equipo había detectado un incidente de seguridad originado en una instancia de Zimbra con todos los parches instalados. Tras revisar la información facilitada por el usuario, Zimbra pudo confirmar que, efectivamente, una vulnerabilidad desconocida permitía a los atacantes subir archivos arbitrarios a servidores ZCS actualizados. El problema está relacionado con el método que utiliza el motor antivirus de Zimbra —conocido como Amavis— para analizar los correos electrónicos entrantes (Amavis utiliza una función de Zimbra denominada «cpio»).
Solución alternativa de Zimbra para el problema CVE-2022-41352
La solución provisional de Zimbra para el error « » ( CVE-2022-41352) (se abre en una nueva pestaña) consistía en instalar la utilidad pax y reiniciar los servicios de Zimbra. Pax viene instalado de forma predeterminada en Ubuntu, por lo que, según se ha informado, las instalaciones de Zimbra basadas en Ubuntu no son vulnerables.
Por su parte, Zimbra ha reconocido el riesgo que supone utilizar cpio en una entrada de blog (se abre en una nueva pestaña) en la que la empresa proporcionó las medidas de mitigación recomendadas.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque aún no se ha determinado la autoría del grupo APT desconocido responsable de gran parte de estos ataques, el CTI ya había observado anteriormente ataques similares, aparentemente aleatorios, en los que se desplegaban «web shells» contra el mayor número posible de servidores vulnerables». En esos casos (se abre en una nueva pestaña), las vulnerabilidades se encontraban en los servidores de Microsoft Exchange, el shell web utilizado era China Chopper y el actor responsable era HAFNIUM, vinculado a China».
«Queda por ver qué grupo malintencionado —si es que hay alguno— está vinculado a esta actual oleada de ataques contra servidores de Zimbra, en particular los ubicados en Asia Central, y si esta actividad malintencionada forma parte de una campaña coordinada. Lo que sí se sabe es que dicha actividad presenta, sin duda, similitudes con la actividad histórica de los APT, tanto en lo que respecta a su escala como a su intensidad. Tal y como ponen de manifiesto varios avisos de la CISA, , este no es el primer caso (se abre en una nueva pestaña) en el que las vulnerabilidades de la solución ZCS de Zimbra han sido objeto de un intenso interés por parte de diversas APT.
2. Una nueva variante del malware Ursnif centra ahora sus actividades en el ransomware y el robo de datos
Un informe reciente publicado por Mandiant analiza un aparente alejamiento del propósito y la funcionalidad originales del malware Ursnif, disponible en . (se abre en una nueva pestaña)
Los investigadores han observado cómo Ursnif ha pasado de ser un troyano diseñado para facilitar el fraude bancario a convertirse en un malware más polivalente, capaz de allanar el terreno para ataques de ransomware y de robo de datos. Ursnif ha ido cambiando en los últimos años.
¿Qué es Ursnif y en qué consiste esta nueva variante de malware?
Ursnif (se abre en una nueva pestaña) (también conocida como ISFB; más información al respecto a continuación) es una de las familias de malware bancario más antiguas y exitosas que siguen activas en la actualidad, más de una década después de su aparición en el panorama de las amenazas cibernéticas. Los autores y colaboradores de este malware han creado múltiples versiones a lo largo de los años, y Ursnif suele estar relacionado con otras familias y variantes de malware. Su código fuente se ha filtrado al menos en dos ocasiones distintas desde su primera aparición importante, lo que ha dado lugar a versiones adicionales que siguen circulando en la actualidad.
En este momento, Ursnif no se considera únicamente un único programa malicioso, sino una familia de variantes. En la actualidad, muchos investigadores se refieren a esta familia de malware como Gozi (se abre en una nueva pestaña)/ISFB (se abre en una nueva pestaña). Entre estas variantes se incluyen:
- ISFB: A partir del código fuente filtrado de Gozi, en el que se basan muchas variantes de Ursnif. Estuvo en activo antes de 2014.
- Dreambot: . Mandiant señala que se trata de una de las variantes más exitosas. Active 2014-2020.
- IAP: La rama de ISFB que se desarrolla y distribuye con mayor intensidad, con frecuentes campañas de malware dirigidas a Italia. En activo desde 2014 hasta la actualidad.
- RM2: Además, conocido popularmente como GoziAT, RM2 inició su actividad hace años con el malware Chanitor (también conocido como Hancitor). Active 2016-2021.
- RM3: Debido a su formato de archivo ejecutable personalizado, se trata de la versión más sofisticada hasta la fecha, que ha afectado principalmente a Oceanía y al Reino Unido desde la versión 2017. Active 2017-2021.
- LDR4 «»: la variante más reciente, que marca el paso del fraude bancario al ransomware. Ya está activo.
El LDR4 fue observado por primera vez por Mandiant en June 23, mientras que el 2022being se distribuyó mediante un cebo de ataque de phishing relacionado con la contratación, , que redirigía a. El correo electrónico suele contener un enlace a una página web comprometida que redirige al usuario a un dominio que se hace pasar por una empresa legítima. Una prueba CAPTCHA descarga un documento de Excel que se presenta a las víctimas como un archivo relacionado con el señuelo de contratación. A continuación, el documento descarga y ejecuta la carga útil LDR4 .
A diferencia de la variante anterior de Ursnif, la variante LDR4 ya no utiliza el formato de ejecutable personalizado PX. Los investigadores consideran que esta decisión podría haberse tomado para evitar complicar en exceso la fase de resolución de problemas, ya que es probable que los desarrolladores de malware prefieran centrar sus esfuerzos en el ajuste de las características más importantes de la variante. Esta nueva variante es, además, claramente una puerta trasera, lo que convierte a Ursnif en la última de una larga lista de familias de malware que siguen los pasos de Emotet y TrickBot en lo que respecta a los cambios de estrategia.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El hecho de que Ursnif —o alguna variante del mismo— siga siendo relevante más de una década después de su aparición inicial en el panorama de las amenazas demuestra claramente que sus desarrolladores son capaces de adaptarse a las tendencias en constante evolución del sector del malware». «La evolución del malware, desde troyano bancario hasta puerta trasera, es un indicador claro de sus intentos por adaptarse a los nuevos tiempos».
«Sin embargo, parece que sus desarrolladores no aprovecharon dos oportunidades de primer orden: la desarticulación de Trickbot y Emotet a manos de grupos de trabajo especializados de las fuerzas del orden. Si Ursnif hubiera cambiado de estrategia en un momento en el que existía un cierto vacío de poder en el panorama de las amenazas, podría haber alcanzado un éxito extraordinario, al estilo de malware como IcedID. No obstante, dada la sofisticación histórica y el notable éxito que ha tenido Ursnif, los investigadores consideran que esta nueva variante podría seguir siendo igual de peligrosa».
3. Los expertos advierten de una puerta trasera de PowerShell que pasa desapercibida y se disfraza de actualización de Windows
Un informe reciente de SafeBreach Labs revela lo que muchos medios de comunicación están presentando como una nueva puerta trasera de PowerShell de « » «totalmente indetectable». Esto resulta más que un poco peculiar, teniendo en cuenta que, de hecho, la puerta trasera sí se detectó, tal y como demuestran los diversos investigadores que informaron de su existencia. Esta puerta trasera, hasta ahora no documentada, consigue su elevado nivel de sigilo al camuflarse como parte de un proceso legítimo de actualización de Windows.
Acerca de la puerta trasera de PowerShell
El propio malware se dedica principalmente a actividades de exfiltración de datos en los equipos afectados. El ataque detectado por SafeBreach Labs comenzó con un documento de Word malicioso que incluía código de macro para ejecutar el script de PowerShell. El documento de Word se titulaba «Apply Form.docm» y se subió desde una dirección IP de Jordania a August 25, 2022. Se cree que este archivo está relacionado con un cebo de spear-phishing para solicitudes de empleo a través de LinkedIn, del que hemos visto muchos casos últimamente. Cabe señalar que, para que este punto de entrada inicial funcione correctamente, es necesario que las macros estén habilitadas en el documento.
El «macro dropper» —updater.vbs— crea una tarea programada que simula formar parte de una actualización habitual de Windows. El script se ejecutará desde una carpeta de actualizaciones falsa ubicada en %appdata%\local\Microsoft\Windows y ejecutará un script de PowerShell.
Un error cometido por el autor de la amenaza conduce al descubrimiento
SafeBreach Labs señaló que el autor o autores de la amenaza que se ocultan tras la puerta trasera cometieron un error crucial al utilizar identificadores de víctimas secuenciales y predecibles. Los investigadores lograron desarrollar un script que simulaba ser varias víctimas afectadas y registraron las C2 respuestas en un archivo de captura de paquetes (pcap). A continuación, ejecutaron una segunda herramienta para extraer los comandos cifrados de ese archivo pcap. Esta salida se canalizó a CyberChef para descifrar el comando correspondiente a cada ID o número de víctima.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Este no es más que el ejemplo más reciente de un uso malintencionado de un script de PowerShell». A principios de este mes, informamos sobre una técnica poco común denominada «mouseover» ( ) utilizada para la distribución de malware:. Todo este episodio debería servir de recordatorio tanto a los ciberdelincuentes como a los desarrolladores legítimos de que un error aparentemente menor —o una función, como parece ser el caso— puede tener consecuencias catastróficas. En cualquier caso, aunque el autor o autores de esta puerta trasera de PowerShell cometieron un error sencillo durante su desarrollo que propició su descubrimiento, se trata de una puerta trasera muy sofisticada».
«La capacidad del malware para hacerse pasar por parte del proceso de actualización de Windows, así como su uso de la ingeniería social a través de LinkedIn, pone de manifiesto un cierto nivel de competencia». «Esta actividad también nos recuerda que una amenaza no tiene por qué aparecer en todos los medios ni tener un nombre llamativo para que resulte eficaz, ya que esta puerta trasera sin nombre ya cuenta con más de 60 víctimas».
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « ».
