Se dice que un actor de amenazas “muy probablemente” explotó una falla de seguridad en un servidor Atlassian Confluence obsoleto para implementar una puerta trasera nunca antes vista contra una organización no identificada en el sector de servicios técnicos y de investigación.
El ataque, que ocurrió durante un período de siete días a fines de mayo, se atribuyó a un grupo de actividad de amenazas rastreado por la firma de seguridad cibernética Deepwatch como TAC-040.
“La evidencia indica que el actor de amenazas ejecutó comandos maliciosos con un proceso principal de tomcat9.exe en el directorio Confluence de Atlassian”, dijo la compañía. dijo. “Después del compromiso inicial, el actor de amenazas ejecutó varios comandos para enumerar el sistema local, la red y el entorno de Active Directory”.
La vulnerabilidad de Atlassian que se sospecha que ha sido explotada es CVE-2022-26134, una falla de inyección de Object-Graph Navigation Language (OGNL) que allana el camino para la ejecución de código arbitrario en una instancia de Confluence Server o Data Center.
Tras los informes de explotación activa en ataques del mundo real, la empresa australiana abordó el problema el 4 de junio de 2022.
Pero dada la ausencia de artefactos forenses, Deepwatch teorizó que la violación podría haber implicado alternativamente la explotación de la vulnerabilidad Spring4Shell (CVE-2022-22965) para obtener acceso inicial a la aplicación web Confluence.
No se sabe mucho sobre el TAC-040 aparte del hecho de que los objetivos del colectivo adversario podrían estar relacionados con el espionaje, aunque no se descarta la posibilidad de que el grupo pudiera haber actuado con fines de lucro, citando la presencia de un cargador para un minero criptográfico XMRig en el sistema.
Si bien no hay evidencia de que el minero haya sido ejecutado en este incidente, la dirección de Monero propiedad de los actores de la amenaza ha generado al menos 652 XMR ($ 106,000) al secuestrar los recursos informáticos de otros sistemas para extraer criptomonedas de manera ilícita.
La cadena de ataque también se destaca por la implementación de un implante previamente no documentado llamado Ljl Backdoor en el servidor comprometido. Se estima que aproximadamente 700 MB de datos archivados fueron exfiltrados antes de que la víctima desconectara el servidor, según un análisis de los registros de la red.
El malware, por su parte, es un virus troyano con todas las funciones diseñado para recopilar archivos y cuentas de usuario, cargar cargas útiles .NET arbitrarias y acumular información del sistema, así como la ubicación geográfica de la víctima.
“La víctima le negó al actor de amenazas la capacidad de moverse lateralmente dentro del entorno al desconectar el servidor, lo que podría evitar la filtración de datos confidenciales adicionales y restringir la capacidad de los actores de amenazas para realizar más actividades maliciosas”.
About the Author
