Los actores de amenazas afiliados al Servicio de Inteligencia Exterior de Rusia (SVR) se han dirigido a servidores JetBrains TeamCity sin parches en ataques generalizados desde septiembre de 2023.<\/p>\n
La actividad ha estado vinculada a un grupo de estado-naci\u00f3n conocido como APT29<\/strong>, que tambi\u00e9n se rastrea como BlueBravo, Cloaked Ursa, Cozy Bear, Midnight Blizzard (anteriormente Nobelium) y The Dukes. Es notable por el ataque a la cadena de suministro dirigido a SolarWinds y sus clientes en 2020.<\/p>\n “Sin embargo, se ha observado que el SVR utiliza el acceso inicial obtenido al explotar TeamCity CVE para escalar sus privilegios, moverse lateralmente, implementar puertas traseras adicionales y tomar otras medidas para garantizar un acceso persistente y a largo plazo a los entornos de red comprometidos”. agencias de ciberseguridad de Polonia, el Reino Unido y los EE. UU. dicho<\/a>.<\/p>\n La vulnerabilidad en cuesti\u00f3n es CVE-2023-42793 (puntuaci\u00f3n CVSS: 9,8), una falla de seguridad cr\u00edtica que podr\u00eda ser utilizada como arma por atacantes no autenticados para lograr la ejecuci\u00f3n remota de c\u00f3digo en los sistemas afectados. Desde entonces ha sido objeto de explotaci\u00f3n activa por equipos de pirater\u00eda<\/a>incluidos los asociados con Corea del Norte, para la distribuci\u00f3n de malware.<\/p>\n Supere las amenazas impulsadas por la IA con confianza cero: seminario web para profesionales de la seguridad<\/p>\n <\/a> <\/p>\n Las medidas de seguridad tradicionales no son suficientes en el mundo actual. Es hora de adoptar la seguridad Zero Trust. Proteja sus datos como nunca antes. <\/p>\n \u00danete ahora<\/a> <\/section>\n “La explotaci\u00f3n de TeamCity generalmente resultaba en la ejecuci\u00f3n de c\u00f3digo con altos privilegios, lo que otorgaba al SVR una posici\u00f3n ventajosa en el entorno de red”, afirman las agencias. anotado<\/a>.<\/p>\n “Si se ve comprometido, el acceso a un servidor TeamCity proporcionar\u00eda a los actores maliciosos acceso al c\u00f3digo fuente del desarrollador de software, firma de certificados y la capacidad de subvertir los procesos de compilaci\u00f3n e implementaci\u00f3n de software; acceso que un actor malicioso podr\u00eda utilizar para llevar a cabo operaciones de la cadena de suministro”.<\/p>\n Un acceso inicial exitoso suele ir seguido de reconocimiento, escalada de privilegios, movimiento lateral y exfiltraci\u00f3n de datos, al mismo tiempo que se toman medidas para evadir la detecci\u00f3n utilizando una herramienta de c\u00f3digo abierto llamada EDRSyBlast<\/a>. El objetivo final de los ataques es implementar una puerta trasera con nombre en c\u00f3digo GraphicalProton que funciona como un cargador para entregar cargas \u00fatiles adicionales.<\/p>\n GraphicalProton, tambi\u00e9n conocido como VaporRage, aprovecha OneDrive como canal de comunicaci\u00f3n principal de comando y control (C2), con Dropbox tratado como un mecanismo alternativo. El actor de amenazas lo ha utilizado como parte de una campa\u00f1a en curso denominada Diplomatic Orbiter que se\u00f1ala a las agencias diplom\u00e1ticas de todo el mundo.<\/p>\n Se dice que hasta 100 dispositivos ubicados en EE. UU., Europa, Asia y Australia se vieron comprometidos como resultado de lo que se sospecha que son ataques oportunistas.<\/p>\n objetivos de la campa\u00f1a<\/a> incluir una asociaci\u00f3n comercial de energ\u00eda; empresas que proporcionan software para facturaci\u00f3n, dispositivos m\u00e9dicos, atenci\u00f3n al cliente, seguimiento de empleados, gesti\u00f3n financiera, marketing, ventas y videojuegos; as\u00ed como empresas de hosting, fabricantes de herramientas y peque\u00f1as y grandes empresas de TI.<\/p>\n La divulgaci\u00f3n se produce cuando Microsoft revel\u00f3 el ataque m\u00faltiple de Rusia al sector agr\u00edcola de Ucrania entre junio y septiembre de 2023 para penetrar redes, exfiltrar datos y desplegar malware destructivo como SharpWipe (tambi\u00e9n conocido como WalnutWipe).<\/p>\n Las intrusiones se han vinculado a dos grupos de estados-naci\u00f3n con nombre en c\u00f3digo Aqua Blizzard (anteriormente Actinium) y Seashell Blizzard (anteriormente Iridium), respectivamente.<\/p>\n Tambi\u00e9n se ha observado que Seashell Blizzard aprovecha el software pirateado de Microsoft Office que alberga la puerta trasera DarkCrystalRAT (tambi\u00e9n conocida como DCRat) para obtener acceso inicial, us\u00e1ndolo posteriormente para descargar una carga \u00fatil de segunda etapa llamada Shadowlink que se hace pasar por Microsoft Defender pero, en realidad, instala un Servicio TOR para acceso remoto subrepticio.<\/p>\n “Midnight Blizzard adopt\u00f3 un enfoque de fregadero, utilizando contrase\u00f1as en aerosol, credenciales adquiridas de terceros, campa\u00f1as cre\u00edbles de ingenier\u00eda social a trav\u00e9s de Teams y abuso de servicios en la nube para infiltrarse en entornos de nube”, dijo el gigante tecnol\u00f3gico. dicho<\/a>.<\/p>\n Microsoft destac\u00f3 adem\u00e1s a un actor de influencia afiliado a Rusia al que llama Storm-1099 (tambi\u00e9n conocido como Doppelganger) por llevar a cabo sofisticadas operaciones de influencia pro Rusia dirigidas a partidarios internacionales de Ucrania desde la primavera de 2022.<\/p>\n Otros esfuerzos de influencia incluyen la falsificaci\u00f3n de los principales medios de comunicaci\u00f3n y la edici\u00f3n enga\u00f1osa de v\u00eddeos de celebridades compartidos en Camafeo<\/a> difundir contenidos de v\u00eddeo anti-Ucrania y difamar al presidente Volodymyr Zelensky mediante afirmando falsamente<\/a> sufr\u00eda problemas de abuso de sustancias, lo que subraya los esfuerzos continuos para distorsionar las percepciones globales de la guerra.<\/p>\n “Esta campa\u00f1a marca un enfoque novedoso por parte de actores pro-Rusia que buscan promover la narrativa en el espacio de la informaci\u00f3n en l\u00ednea”, dijo Microsoft. “Los operadores cibern\u00e9ticos y de influencia rusos han demostrado adaptabilidad durante toda la guerra contra Ucrania”.<\/p>\n Tras la publicaci\u00f3n de la historia, Yaroslav Russkih, jefe de seguridad de JetBrains, comparti\u00f3 la siguiente declaraci\u00f3n con The Hacker News:<\/p>\n “Se nos inform\u00f3 sobre esta vulnerabilidad a principios de este a\u00f1o y la solucionamos de inmediato en la actualizaci\u00f3n TeamCity 2023.05.4, que se lanz\u00f3 el 18 de septiembre de 2023. Desde entonces, nos hemos puesto en contacto con nuestros clientes directamente o mediante publicaciones p\u00fablicas motiv\u00e1ndolos a actualizar su software. . Tambi\u00e9n lanzamos un parche de seguridad dedicado para organizaciones que utilizan versiones anteriores de TeamCity que no pudieron actualizar a tiempo. Adem\u00e1s, hemos estado compartiendo las mejores pr\u00e1cticas de seguridad para ayudar a nuestros clientes a fortalecer la seguridad de sus canales de compilaci\u00f3n. Ahora, seg\u00fan las estad\u00edsticas que tenemos, menos del 2% de las instancias de TeamCity todav\u00eda funcionan con software sin parches y esperamos que sus propietarios las parcheen de inmediato. Esta vulnerabilidad solo afecta las instancias locales de TeamCity, mientras que nuestra versi\u00f3n en la nube no se vio afectada. “<\/em><\/p>\n <\/p>\n![\"Servidores](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/12\/APT29-vinculado-a-SVR-ruso-apunta-a-servidores-JetBrains-TeamCity.jpg\" "\\"Servidores")
<\/a><\/div>\n<\/a><\/center><\/div>\nActualizar<\/h3>\n