Al menos dos grupos diferentes de ciberespionaje sospechosos de estar vinculados a China, rastreados como UNC5325<\/strong> y UNC3886<\/strong>se han atribuido a la explotaci\u00f3n de fallas de seguridad en los dispositivos Ivanti Connect Secure VPN.<\/p>\n UNC5325 abus\u00f3 de CVE-2024-21893 para entregar una amplia gama de nuevo malware llamado LITTLELAMB.WOOLTEA, PITSTOP, PITDOG, PITJET y PITHOOK, adem\u00e1s de intentar mantener el acceso persistente a los dispositivos comprometidos, dijo Mandiant.<\/p>\n La firma de inteligencia de amenazas propiedad de Google ha evaluado con confianza moderada que UNC5325 est\u00e1 asociado con UNC3886 debido a las superposiciones de c\u00f3digo fuente en LITTLELAMB.WOOLTEA y PITHOOK con el malware utilizado por este \u00faltimo.<\/p>\n Vale la pena se\u00f1alar que UNC3886 tiene un historial de aprovechar fallas de d\u00eda cero en soluciones Fortinet y VMware para implementar una variedad de implantes como VIRTUALPITA, VIRTUALPIE, THINCRUST y CASTLETAP.<\/p>\n “UNC3886 se ha dirigido principalmente a la base industrial de defensa, la tecnolog\u00eda y las organizaciones de telecomunicaciones ubicadas en los EE. UU. y [Asia-Pacific] regiones”, investigadores de Mandiant dicho<\/a>.<\/p>\n Se dice que la explotaci\u00f3n activa de CVE-2024-21893, una vulnerabilidad de falsificaci\u00f3n de solicitudes del lado del servidor (SSRF) en el componente SAML de Ivanti Connect Secure, Ivanti Policy Secure e Ivanti Neurons para ZTA, por parte de UNC5325 ocurri\u00f3 ya en enero. 19 de septiembre de 2024, dirigido a un n\u00famero limitado de dispositivos.<\/p>\n La cadena de ataque implica combinar CVE-2024-21893 con una vulnerabilidad de inyecci\u00f3n de comandos previamente revelada y rastreada como CVE-2024-21887 para obtener acceso no autorizado a dispositivos susceptibles, lo que en \u00faltima instancia conduce a la implementaci\u00f3n de una nueva versi\u00f3n de BUSHWALK.<\/p>\n Algunos casos tambi\u00e9n han implicado el uso indebido de componentes leg\u00edtimos de Ivanti, como los complementos de SparkGateway, para eliminar cargas \u00fatiles adicionales. Esto incluye el complemento PITFUEL para cargar un objeto compartido malicioso con nombre en c\u00f3digo LITTLELAMB.WOOLTEA, que viene con capacidades para persistir en eventos de actualizaci\u00f3n del sistema, parches y restablecimientos de f\u00e1brica.<\/p>\n \u201cSi bien los intentos limitados observados para mantener la persistencia no han tenido \u00e9xito hasta la fecha debido a una falta de l\u00f3gica en el c\u00f3digo del malware para tener en cuenta una discrepancia en la clave de cifrado, demuestra a\u00fan m\u00e1s hasta d\u00f3nde llegar\u00e1 UNC5325 para mantener el acceso a objetivos prioritarios y resalta la Es importante garantizar que los dispositivos de red tengan las \u00faltimas actualizaciones y parches\u201d, se\u00f1al\u00f3 la empresa.<\/p>\n Adem\u00e1s, act\u00faa como una puerta trasera que admite la ejecuci\u00f3n de comandos, administraci\u00f3n de archivos, creaci\u00f3n de shell, proxy SOCKS y tunelizaci\u00f3n del tr\u00e1fico de red.<\/p>\n Tambi\u00e9n se observa otro complemento malicioso de SparkGateway denominado PITDOG que inyecta un objeto compartido conocido como PITHOOK para ejecutar persistentemente un implante denominado PITSTOP que est\u00e1 dise\u00f1ado para la ejecuci\u00f3n de comandos de shell, escritura y lectura de archivos en el dispositivo comprometido.<\/p>\n Mandiant describi\u00f3 que el actor de amenazas demostr\u00f3 una “comprensi\u00f3n matizada del dispositivo y su capacidad para subvertir la detecci\u00f3n a lo largo de esta campa\u00f1a” y utiliz\u00f3 t\u00e9cnicas de vida de la tierra (LotL) para pasar desapercibido.<\/p>\n La firma de ciberseguridad dijo que espera que “UNC5325, as\u00ed como otros actores de espionaje del nexo con China, contin\u00faen aprovechando las vulnerabilidades de d\u00eda cero en los dispositivos de borde de la red, as\u00ed como el malware espec\u00edfico de los dispositivos para obtener y mantener el acceso a los entornos de destino”.<\/p>\n La divulgaci\u00f3n se produce cuando la empresa de ciberseguridad industrial Dragos atribuido<\/a> Volt Typhoon (tambi\u00e9n conocido como Voltzite) patrocinado por China para actividades de reconocimiento y enumeraci\u00f3n dirigidas a m\u00faltiples compa\u00f1\u00edas el\u00e9ctricas, servicios de emergencia, proveedores de telecomunicaciones, bases industriales de defensa y servicios satelitales con sede en EE. UU.<\/p>\n “Las acciones de Voltzite hacia entidades el\u00e9ctricas, telecomunicaciones y sistemas GIS de Estados Unidos significan objetivos claros para identificar vulnerabilidades dentro de la infraestructura cr\u00edtica del pa\u00eds que pueden ser explotadas en el futuro con ciberataques destructivos o disruptivos”, dijo.<\/p>\n Desde entonces, la huella victimol\u00f3gica de Volt Typhoon se ha ampliado para incluir proveedores africanos de transmisi\u00f3n y distribuci\u00f3n el\u00e9ctrica, con evidencia que conecta al adversario con UTA0178, un grupo de actividad de amenazas vinculado a la explotaci\u00f3n de d\u00eda cero de las fallas de Ivanti Connect Secure a principios de diciembre de 2023.<\/p>\n El actor de ciberespionaje, que depende en gran medida de los m\u00e9todos de LotL para eludir la detecci\u00f3n, Uniones<\/a> Otros dos nuevos grupos, a saber, Gananite y Laurionite, que salieron a la luz en 2023, llevan a cabo operaciones de reconocimiento a largo plazo y robo de propiedad intelectual dirigidas a infraestructuras cr\u00edticas y entidades gubernamentales.<\/p>\n “Voltzite utiliza herramientas m\u00ednimas y prefiere realizar sus operaciones ocupando el menor espacio posible”, explic\u00f3 Dragos. “Voltzite se centra principalmente en la evasi\u00f3n de detecci\u00f3n y el acceso persistente a largo plazo con la intenci\u00f3n evaluada de espionaje a largo plazo y exfiltraci\u00f3n de datos”.<\/p>\n (La historia se actualiz\u00f3 despu\u00e9s de la publicaci\u00f3n para enfatizar que los intentos de lograr persistencia en los dispositivos VPN no tuvieron \u00e9xito).<\/em><\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/Hackers-chinos-aprovechan-las-fallas-de-Ivanti-VPN-para-implementar.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\nV\u00ednculos encontrados entre Volt Typhoon y UTA0178<\/h3>\n
<\/a><\/center><\/div>\n<\/a><\/div>\n