Microsoft dijo el lunes que detect\u00f3 actividad de un estado-naci\u00f3n respaldado por el Kremlin que explotaba una falla de seguridad cr\u00edtica ahora parcheada en su servicio de correo electr\u00f3nico Outlook para obtener acceso no autorizado a las cuentas de las v\u00edctimas dentro de los servidores Exchange.<\/p>\n
El gigante tecnol\u00f3gico atribuido<\/a> las intrusiones a un actor de amenazas al que llam\u00f3 Ventisca del bosque<\/strong> (anteriormente Strontium), que tambi\u00e9n tiene un amplio seguimiento bajo los apodos APT28, BlueDelta, Fancy Bear, FROZENLAKE, Iron Twilight, Sednit, Sofacy y TA422.<\/p>\n La vulnerabilidad de seguridad en cuesti\u00f3n es CVE-2023-23397 (puntuaci\u00f3n CVSS: 9,8), un error cr\u00edtico de escalada de privilegios que podr\u00eda permitir a un adversario acceder al hash Net-NTLMv2 de un usuario que luego podr\u00eda usarse para realizar un ataque de retransmisi\u00f3n contra otro servicio para autenticarse como usuario. Microsoft lo parch\u00f3 en marzo de 2023.<\/p>\n El objetivo, seg\u00fan el Comando Cibern\u00e9tico Polaco (DKWOC), es obtener acceso no autorizado a buzones de correo de entidades p\u00fablicas y privadas del pa\u00eds.<\/p>\n Aprenda a detectar amenazas internas con estrategias de respuesta de aplicaciones<\/p>\n <\/a> <\/p>\n Descubra c\u00f3mo la detecci\u00f3n de aplicaciones, la respuesta y el modelado de comportamiento automatizado pueden revolucionar su defensa contra amenazas internas.<\/p>\n \u00danete ahora<\/a> <\/section>\n “En la siguiente etapa de actividad maliciosa, el adversario modifica los permisos de carpeta dentro del buz\u00f3n de la v\u00edctima”, DKWOC dicho<\/a>. “En la mayor\u00eda de los casos, las modificaciones consisten en cambiar los permisos predeterminados del grupo ‘Predeterminado’ (todos los usuarios autenticados en la organizaci\u00f3n de Exchange) de ‘Ninguno’ a ‘Propietario'”.<\/p>\n Al hacerlo, cualquier persona autenticada dentro de la organizaci\u00f3n puede leer el contenido de las carpetas de los buzones de correo a las que se les ha otorgado este permiso, lo que permite al actor de amenazas extraer informaci\u00f3n valiosa de objetivos de alto valor.<\/p>\n “Cabe destacar que la introducci\u00f3n de tales modificaciones permite mantener el acceso no autorizado al contenido del buz\u00f3n incluso despu\u00e9s de perder el acceso directo al mismo”, a\u00f1adi\u00f3 DKWOC.<\/p>\n Microsoft revel\u00f3 anteriormente que la deficiencia de seguridad hab\u00eda sido utilizada como arma por actores de amenazas con sede en Rusia como un d\u00eda cero en ataques dirigidos a los sectores gubernamental, de transporte, energ\u00e9tico y militar en Europa desde abril de 2022.<\/p>\n Posteriormente, en junio de 2023, la empresa de ciberseguridad Recorded Future revel\u00f3 detalles de una campa\u00f1a de phishing orquestada por APT28 que explota m\u00faltiples vulnerabilidades en el software de correo web de c\u00f3digo abierto Roundcube, al tiempo que se\u00f1al\u00f3 que la campa\u00f1a se superpone con la actividad que emplea la vulnerabilidad de Microsoft Outlook.<\/p>\n La Agencia Nacional de Ciberseguridad de Francia (ANSSI), a finales de octubre, tambi\u00e9n culpada<\/a> el equipo de pirater\u00eda para apuntar a entidades gubernamentales, empresas, universidades, institutos de investigaci\u00f3n y grupos de expertos desde la segunda mitad de 2021 aprovechando varias fallas, contando CVE-2023-23397, para implementar implantes<\/a> como CredoMap.<\/p>\n Se considera que el grupo patrocinado por el Estado est\u00e1 vinculado a la Unidad 26165 de la Direcci\u00f3n General del Estado Mayor de las Fuerzas Armadas de la Federaci\u00f3n Rusa (GRU), el brazo de inteligencia extranjera<\/a> del Ministerio de Defensa.<\/p>\n En los \u00faltimos meses, tambi\u00e9n se ha relacionado con ataques a varias organizaciones en Francia y Ucrania, as\u00ed como con el abuso del fallo WinRAR (CVE-2023-38831) para robar datos de inicio de sesi\u00f3n del navegador mediante un script de PowerShell llamado IRONJAW.<\/p>\n La empresa de ciberseguridad Proofpoint, en un an\u00e1lisis independiente<\/a>dijo que observ\u00f3 campa\u00f1as de phishing de gran volumen a finales de marzo y septiembre de 2023 que aprovecharon CVE-2023-23397 y CVE-2023-38831, respectivamente, para objetivos en Europa y Am\u00e9rica del Norte.<\/p>\n “Sus acciones indican que buscan descubrir redes f\u00e1cilmente explotables que tengan inter\u00e9s estrat\u00e9gico para el adversario; sin embargo, no est\u00e1 claro si la cantidad de correos electr\u00f3nicos (m\u00e1s de 10.000 en total desde agosto de 2023) ha sido una decisi\u00f3n t\u00e1ctica o un error del operador”, Greg Lesnewich, investigador senior de amenazas en Proofpoint, dijo a The Hacker News.<\/p>\n “De todos modos, las cargas \u00fatiles, t\u00e1cticas y t\u00e9cnicas utilizadas en estas campa\u00f1as reflejan el cambio definitivo de TA422 desde el malware compilado para el acceso persistente en redes espec\u00edficas hacia un acceso m\u00e1s liviano y orientado a credenciales”.<\/p>\n “Forest Blizzard refina continuamente su huella mediante el empleo de nuevas t\u00e9cnicas personalizadas y malware, lo que sugiere que es un grupo bien capacitado y con buenos recursos que plantea desaf\u00edos a largo plazo para la atribuci\u00f3n y el seguimiento de sus actividades”, dijo Microsoft.<\/p>\n La popularidad de Microsoft Outlook en entornos empresariales sirve como un lucrativo vector de ataque, convirti\u00e9ndolo en “una de las ‘puertas’ cr\u00edticas responsables de introducir diversas amenazas cibern\u00e9ticas en las organizaciones”, seg\u00fan Check Point, que expuso los distintos medios<\/a> por lo que los malos actores podr\u00edan abusar del servicio para realizar sus haza\u00f1as.<\/p>\n El desarrollo llega como The Guardian. reportado<\/a> que el sitio de desechos nucleares de Sellafield en el Reino Unido hab\u00eda sido violado por grupos de piratas inform\u00e1ticos asociados con Rusia y China para desplegar “malware durmiente” ya en 2015. Sin embargo, el gobierno del Reino Unido dicho<\/a> no encontr\u00f3 evidencia que sugiriera que sus redes hubieran sido “atacadas con \u00e9xito por actores estatales”.<\/p>\n (La historia se actualiz\u00f3 despu\u00e9s de la publicaci\u00f3n para incluir detalles adicionales de la campa\u00f1a de Proofpoint).<\/em><\/p>\n <\/p>\n![\"Vulnerabilidad](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/12\/Microsoft-advierte-que-APT28-respaldado-por-el-Kremlin-explota-una.jpg\" "\\"Vulnerabilidad")
<\/a><\/div>\n<\/a><\/center><\/div>\n