Mandiant, propiedad de Google, dijo que identific\u00f3 un nuevo malware empleado por un actor de amenazas de espionaje del nexo con China conocido como UNC5221 y otros grupos de amenazas durante la actividad posterior a la explotaci\u00f3n dirigida a dispositivos Ivanti Connect Secure VPN y Policy Secure.<\/p>\n
Esto incluye shells web personalizados como BUSHWALK, CHAINLINE, FRAMESTING y una variante de LIGHTWIRE.<\/p>\n
“CHAINLINE es una puerta trasera de shell web de Python que est\u00e1 integrada en un paquete Ivanti Connect Secure Python que permite la ejecuci\u00f3n de comandos arbitrarios”, dijo la empresa. dicho<\/a>atribuy\u00e9ndolo a UNC5221, agregando que tambi\u00e9n detect\u00f3 m\u00faltiples versiones nuevas de WARPWIRE, un ladr\u00f3n de credenciales basado en JavaScript.<\/p>\n Las cadenas de infecci\u00f3n implican una explotaci\u00f3n exitosa de CVE-2023-46805 y CVE-2024-21887, que permiten a un actor de amenazas no autenticado ejecutar comandos arbitrarios en el dispositivo Ivanti con privilegios elevados.<\/p>\n Desde principios de diciembre de 2023 se ha abusado de los fallos como de d\u00eda cero. Oficina Federal de Seguridad de la Informaci\u00f3n (BSI) de Alemania dicho<\/a> est\u00e1 al tanto de “m\u00faltiples sistemas comprometidos” en el pa\u00eds.<\/p>\n BUSHWALK, escrito en Perl e implementado eludiendo las mitigaciones emitidas por Ivanti en ataques altamente dirigidos, est\u00e1 integrado en un archivo Connect Secure leg\u00edtimo llamado “querymanifest.cgi” y ofrece la capacidad de leer o escribir archivos en un servidor. <\/p>\n Por otro lado, FRAMESTING es un shell web de Python integrado en un paquete Ivanti Connect Secure Python (ubicado en la siguiente ruta “\/home\/venv3\/lib\/python3.6\/site-packages\/cav-0.1-py3.6.egg \/cav\/api\/resources\/category.py”) que permite la ejecuci\u00f3n de comandos arbitrarios.<\/p>\n El an\u00e1lisis de Mandiant de la puerta trasera pasiva ZIPLINE tambi\u00e9n ha descubierto el uso de “amplia funcionalidad para garantizar la autenticaci\u00f3n de su protocolo personalizado utilizado para establecer comando y control (C2)”.<\/p>\n Adem\u00e1s, los ataques se caracterizan por el uso de utilidades de c\u00f3digo abierto como Paquete<\/a>, CrackMapExec<\/a>, yodo<\/a>y Enum4linux<\/a> para respaldar la actividad posterior a la explotaci\u00f3n en los dispositivos Ivanti CS, incluido el reconocimiento de red, el movimiento lateral y la filtraci\u00f3n de datos dentro de los entornos de las v\u00edctimas.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/Advertencia-surge-nuevo-malware-en-ataques-que-explotan-las-vulnerabilidades.jpg\")
<\/a><\/center><\/div>\n