Una falla de seguridad ahora parcheada en el software Veeam Backup & Replication est\u00e1 siendo explotada por una operaci\u00f3n de ransomware naciente conocida como EstateRansomware.<\/p>\n
Group-IB, con sede en Singapur, que descubri\u00f3 al actor de amenazas a principios de abril de 2024, dijo que el modus operandi implicaba la explotaci\u00f3n de CVE-2023-27532 (puntaje CVSS: 7,5) para llevar a cabo actividades maliciosas.<\/p>\n
Se dice que el acceso inicial al entorno de destino se facilit\u00f3 mediante un dispositivo VPN SSL de firewall Fortinet FortiGate utilizando una cuenta inactiva.<\/p>\n
“El actor de amenazas gir\u00f3 lateralmente desde el firewall FortiGate a trav\u00e9s del servicio VPN SSL para acceder al servidor de conmutaci\u00f3n por error”, dijo el investigador de seguridad Yeo Zi Wei. dicho<\/a> en un an\u00e1lisis publicado hoy.<\/p>\n “Antes del ataque de ransomware, se detectaron intentos de ataque de fuerza bruta a VPN en abril de 2024 utilizando una cuenta inactiva identificada como ‘Acc1’. Varios d\u00edas despu\u00e9s, se rastre\u00f3 un inicio de sesi\u00f3n exitoso de VPN utilizando ‘Acc1’ hasta la direcci\u00f3n IP remota 149.28.106[.]252.”<\/p>\n A continuaci\u00f3n, los actores de la amenaza procedieron a establecer conexiones RDP desde el firewall al servidor de conmutaci\u00f3n por error, seguido de la implementaci\u00f3n de una puerta trasera persistente llamada “svchost.exe” que se ejecuta diariamente a trav\u00e9s de una tarea programada.<\/p>\n El acceso posterior a la red se logr\u00f3 mediante la puerta trasera para evadir la detecci\u00f3n. La responsabilidad principal de la puerta trasera es conectarse a un servidor de comando y control (C2) a trav\u00e9s de HTTP y ejecutar comandos arbitrarios emitidos por el atacante.<\/p>\n Group-IB dijo que observ\u00f3 al actor explotando la falla CVE-2023-27532 de Veeam con el objetivo de habilitar xp_cmdshell en el servidor de respaldo y crear una cuenta de usuario fraudulenta llamada “VeeamBkp”, adem\u00e1s de realizar actividades de descubrimiento de red, enumeraci\u00f3n y recolecci\u00f3n de credenciales utilizando herramientas como NetScan, AdFind y NitSoft utilizando la cuenta reci\u00e9n creada.<\/p>\n “Esta explotaci\u00f3n potencialmente involucr\u00f3 un ataque originado desde la carpeta VeeamHax en el servidor de archivos contra la versi\u00f3n vulnerable del software Veeam Backup & Replication instalado en el servidor de backup”, plante\u00f3 Zi Wei.<\/p>\n “Esta actividad facilit\u00f3 la activaci\u00f3n del procedimiento almacenado xp_cmdshell y la posterior creaci\u00f3n de la cuenta ‘VeeamBkp'”.<\/p>\n El ataque culmin\u00f3 con la implementaci\u00f3n del ransomware, pero no antes de tomar medidas para debilitar las defensas y moverse lateralmente desde el servidor AD a todos los dem\u00e1s servidores y estaciones de trabajo que utilizan cuentas de dominio comprometidas.<\/p>\n “Windows Defender se deshabilit\u00f3 permanentemente mediante DC.exe [Defender Control]seguido de la implementaci\u00f3n y ejecuci\u00f3n de ransomware con PsExec.exe<\/a>“, dijo el Grupo-IB.<\/p>\n La revelaci\u00f3n se produce luego de que Cisco Talos revel\u00f3 que la mayor\u00eda de las bandas de ransomware priorizan el establecimiento de acceso inicial utilizando fallas de seguridad en aplicaciones p\u00fablicas, archivos adjuntos de phishing o vulnerando cuentas v\u00e1lidas y eludiendo las defensas en sus cadenas de ataque.<\/p>\n El modelo de doble extorsi\u00f3n de exfiltrar datos antes de cifrar los archivos ha dado lugar a herramientas personalizadas desarrolladas por los actores (por ejemplo, Exmatter, Exbyte y StealBit) para enviar la informaci\u00f3n confidencial a una infraestructura controlada por el adversario.<\/p>\n Esto requiere que estos grupos de delitos electr\u00f3nicos establezcan acceso a largo plazo para explorar el entorno con el fin de comprender la estructura de la red, localizar recursos que puedan respaldar el ataque, elevar sus privilegios o permitirles integrarse e identificar datos valiosos que puedan ser robados.<\/p>\n “Durante el \u00faltimo a\u00f1o, hemos sido testigos de cambios importantes en el espacio del ransomware con el surgimiento de m\u00faltiples grupos nuevos de ransomware, cada uno con objetivos, estructuras operativas y victimolog\u00eda \u00fanicos”, dijo Talos. dicho<\/a>.<\/p>\n “La diversificaci\u00f3n pone de relieve un cambio hacia actividades cibercriminales m\u00e1s espec\u00edficas, ya que grupos como Hunters International, Cactus y Akira crean nichos espec\u00edficos, centr\u00e1ndose en objetivos operativos y elecciones estil\u00edsticas distintos para diferenciarse”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Nuevo-grupo-de-ransomware-que-explota-la-vulnerabilidad-del-software.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n