Un actor de amenazas que previamente fue observado usando una herramienta de mapeo de red de c\u00f3digo abierto ha expandido enormemente sus operaciones para infectar a m\u00e1s de 1.500 v\u00edctimas.<\/p>\n
Sysdig, que realiza el seguimiento del cl\u00faster bajo el nombre Rayo de cristal<\/a>dijo que las actividades han experimentado un aumento de 10 veces, y agreg\u00f3 que incluye “escaneo masivo, explotaci\u00f3n de m\u00faltiples vulnerabilidades y colocaci\u00f3n de puertas traseras utilizando m\u00faltiples [open-source software] herramientas de seguridad.”<\/p>\n El objetivo principal de los ataques es recolectar y vender credenciales, implementar mineros de criptomonedas y mantener la persistencia en los entornos de las v\u00edctimas. <\/p>\n Entre los programas de c\u00f3digo abierto utilizados por el actor de amenazas se destaca: Serpiente SSH<\/a>que se lanz\u00f3 por primera vez en enero de 2024. Se ha descrito como una herramienta para realizar un recorrido autom\u00e1tico de la red utilizando claves privadas SSH descubiertas en los sistemas.<\/p>\n El abuso del software por parte de CRYSTALRAY fue documentado por la empresa de ciberseguridad a principios de febrero, con la herramienta implementada para movimiento lateral luego de la explotaci\u00f3n de fallas de seguridad conocidas en instancias p\u00fablicas de Apache ActiveMQ y Atlassian Confluence.<\/p>\n Joshua Rogers, el desarrollador detr\u00e1s de SSH-Snake, dijo a The Hacker News en ese momento que la herramienta solo automatiza lo que de otro modo habr\u00edan sido pasos manuales y pidi\u00f3 a las empresas “descubrir las rutas de ataque que existen y solucionarlas”.<\/p>\n Algunas de las otras herramientas empleadas por los atacantes incluyen: asn<\/a>, mapa z<\/a>, httpx<\/a>y n\u00facleos<\/a> para verificar si un dominio est\u00e1 activo y lanzar escaneos en busca de servicios vulnerables como Apache ActiveMQ, Apache RocketMQ, Atlassian Confluence, Laravel, Metabase, Openfire, Oracle WebLogic Server y Solr.<\/p>\n CRYSTALRAY tambi\u00e9n utiliza su punto de apoyo inicial como arma para llevar a cabo un proceso de descubrimiento de credenciales de amplio alcance que va m\u00e1s all\u00e1 del movimiento entre servidores accesibles a trav\u00e9s de SSH. El acceso persistente al entorno comprometido se logra mediante un marco de comando y control (C2) leg\u00edtimo llamado Sliver y un administrador de shell inverso<\/a> nombre en c\u00f3digo Ornitorrinco<\/a>.<\/p>\n En un intento adicional por obtener valor monetario de los activos infectados, se env\u00edan cargas \u00fatiles de mineros de criptomonedas para utilizar il\u00edcitamente los recursos de la v\u00edctima para obtener ganancias financieras, al mismo tiempo que se toman medidas para eliminar a los mineros competidores que pueden haber estado ejecut\u00e1ndose en las m\u00e1quinas.<\/p>\n “CRYSTALRAY es capaz de descubrir y extraer credenciales de sistemas vulnerables, que luego se venden en mercados negros por miles de d\u00f3lares”, dijo el investigador de Sysdig Miguel Hern\u00e1ndez. “Las credenciales que se venden involucran una multitud de servicios, incluidos proveedores de servicios en la nube y proveedores de correo electr\u00f3nico SaaS”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Los-piratas-informaticos-de-CRYSTALRAY-infectan-a-mas-de-1500.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n