Los servidores Microsoft SQL (MS SQL) con poca seguridad est\u00e1n siendo atacados en las regiones de EE. UU., la Uni\u00f3n Europea y Am\u00e9rica Latina (LATAM) como parte de una campa\u00f1a en curso con motivaci\u00f3n financiera para obtener acceso inicial.<\/p>\n
“La campa\u00f1a de amenazas analizada parece terminar de dos maneras: vendiendo ‘acceso’ al host comprometido o entregando cargas \u00fatiles de ransomware”, dijeron los investigadores de Securonix Den Iuzvyk, Tim Peck y Oleg Kolesnikov en un informe t\u00e9cnico. informe<\/a> compartido con The Hacker News.<\/p>\n La campa\u00f1a, vinculada a actores de origen turco, lleva el nombre en clave RE#TURGENCIA<\/strong> por la firma de ciberseguridad.<\/p>\n El acceso inicial a los servidores implica la realizaci\u00f3n de ataques de fuerza bruta, seguidos del uso de opci\u00f3n de configuraci\u00f3n xp_cmdshell<\/a> para ejecutar comandos de shell en el host comprometido. Esta actividad refleja la de una campa\u00f1a anterior denominada DB#JAMMER que sali\u00f3 a la luz en septiembre de 2023.<\/p>\n Esta etapa allana el camino para la recuperaci\u00f3n de un script de PowerShell de un servidor remoto que es responsable de recuperar una carga \u00fatil ofuscada de la baliza Cobalt Strike.<\/p>\n Luego, el kit de herramientas posterior a la explotaci\u00f3n se utiliza para descargar la aplicaci\u00f3n de escritorio remoto AnyDesk desde un recurso compartido de red montado para acceder a la m\u00e1quina y descargar herramientas adicionales como Mimikatz para recopilar credenciales y Advanced Port Scanner para realizar reconocimiento.<\/p>\n El movimiento lateral se logra mediante una utilidad leg\u00edtima de administraci\u00f3n del sistema llamada PsExec<\/a>que puede ejecutar programas<\/a> en hosts remotos de Windows.<\/p>\n Esa cadena de ataques, en \u00faltima instancia, culmina con el despliegue de Imitar ransomware<\/a>cuya variante tambi\u00e9n se utiliz\u00f3 en la campa\u00f1a DB#JAMMER.<\/p>\n “Los indicadores y los TTP maliciosos utilizados en las dos campa\u00f1as son completamente diferentes, por lo que existe una gran probabilidad de que se trate de dos campa\u00f1as dispares”, dijo Kolesnikov a The Hacker News.<\/p>\n \u201cM\u00e1s espec\u00edficamente, si bien los m\u00e9todos de infiltraci\u00f3n iniciales son similares, DB#JAMMER era un poco m\u00e1s sofisticado y utilizaba t\u00faneles. RE#TURGENCE es m\u00e1s espec\u00edfico y tiende a utilizar herramientas leg\u00edtimas y monitoreo y administraci\u00f3n remotos, como AnyDesk, en un intento de integrarse con la actividad normal\u201d.<\/p>\n Securonix dijo que descubri\u00f3 un error de seguridad operativa (OPSEC) cometido por los actores de amenazas que le permiti\u00f3 monitorear la actividad del portapapeles debido al hecho de que el funci\u00f3n para compartir portapapeles<\/a> de AnyDesk estaba habilitado.<\/p>\n Esto permiti\u00f3 descubrir sus or\u00edgenes turcos y su alias en l\u00ednea atseverse, que tambi\u00e9n corresponde a un perfil en Steam y a un foro de pirater\u00eda turco llamado Hack esp\u00eda<\/a>.<\/p>\n “Abst\u00e9ngase siempre de exponer servidores cr\u00edticos directamente a Internet”, advirtieron los investigadores. “En el caso de RE#TURGENCE, los atacantes pudieron acceder directamente al servidor por fuerza bruta desde fuera de la red principal”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/Hackers-turcos-explotan-servidores-MS-SQL-mal-protegidos-en-todo.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n