Una falla de seguridad recientemente parcheada que afecta a los hipervisores VMware ESXi ha sido explotada activamente por “varios” grupos de ransomware para obtener permisos elevados e implementar malware de cifrado de archivos.<\/p>\n
Los ataques implican la explotaci\u00f3n de CVE-2024-37085<\/a> (Puntuaci\u00f3n CVSS: 6,8), una omisi\u00f3n de autenticaci\u00f3n de integraci\u00f3n de Active Directory que permite a un atacante obtener acceso administrativo al host.<\/p>\n “Un actor malintencionado con suficientes permisos de Active Directory (AD) puede obtener acceso total a un host ESXi que se configur\u00f3 previamente para usar AD para la administraci\u00f3n de usuarios al volver a crear el grupo AD configurado (‘Administradores ESXi’ de manera predeterminada) despu\u00e9s de que se elimin\u00f3 de AD”, dijo VMware, propiedad de Broadcom. anotado<\/a> en un aviso publicado a fines de junio de 2024.<\/p>\n En otras palabras, aumentar los privilegios en ESXi al administrador fue tan simple como crear un nuevo grupo de AD llamado “Administradores de ESX” y agregarle cualquier usuario, o renombrar cualquier grupo en el dominio a “Administradores de ESX” y agregar un usuario al grupo o usar un miembro del grupo existente.<\/p>\n Microsoft, en un nuevo an\u00e1lisis publicado el 29 de julio, dijo que observ\u00f3 que operadores de ransomware como Storm-0506, Storm-1175, Octo Tempest y Manatee Tempest aprovechaban la t\u00e9cnica posterior al compromiso para implementar Akira y Black Basta.<\/p>\n “Los hipervisores VMware ESXi unidos a un dominio de Active Directory consideran que cualquier miembro de un grupo de dominio llamado ‘Administradores de ESX’ tiene acceso administrativo completo de forma predeterminada”, dijeron los investigadores Danielle Kuznets Nohi, Edan Zwick, Meitar Pinto, Charles-Edouard Bettan y Vaibhav Deshmukh. dicho<\/a>.<\/p>\n “Este grupo no es un grupo integrado en Active Directory y no existe de manera predeterminada. Los hipervisores ESXi no validan la existencia de dicho grupo cuando el servidor se une a un dominio y a\u00fan tratan a los miembros de un grupo con este nombre con acceso administrativo completo, incluso si el grupo no exist\u00eda originalmente”.<\/p>\n En un ataque organizado por Storm-0506 contra una empresa de ingenier\u00eda an\u00f3nima en Am\u00e9rica del Norte, el actor de amenazas utiliz\u00f3 la vulnerabilidad como arma para obtener permisos elevados en los hipervisores ESXi despu\u00e9s de haber obtenido un punto de apoyo inicial utilizando una infecci\u00f3n de QakBot y explotando otra falla en el controlador del Sistema de archivos de registro com\u00fan de Windows (CLFS) (CVE-2023-28252, puntuaci\u00f3n CVSS: 7.8) para la escalada de privilegios.<\/p>\n Posteriormente, las fases implicaron el despliegue de Cobalt Strike y Gato pelirrojo<\/a>una versi\u00f3n Python de Mimikatz, para robar credenciales de administrador de dominio y moverse lateralmente a trav\u00e9s de la red, seguido de eliminar el implante SystemBC para persistencia y abusar del acceso de administrador de ESXi para implementar Black Basta.<\/p>\n “Tambi\u00e9n se observ\u00f3 que el actor intentaba forzar las conexiones del Protocolo de escritorio remoto (RDP) a varios dispositivos como otro m\u00e9todo de movimiento lateral, y luego volvi\u00f3 a instalar Cobalt Strike y SystemBC”, dijeron los investigadores. “El actor de amenazas luego intent\u00f3 manipular Microsoft Defender Antivirus utilizando varias herramientas para evitar ser detectado”.<\/p>\n “Es importante se\u00f1alar que la explotaci\u00f3n depende en gran medida de que el host est\u00e9 configurado para utilizar AD para la gesti\u00f3n de usuarios”, afirm\u00f3 Scott Caveza, ingeniero de investigaci\u00f3n de personal de Tenable, en un comunicado. “Adem\u00e1s, un atacante tambi\u00e9n necesitar\u00eda acceso privilegiado al entorno de AD para explotar con \u00e9xito esta vulnerabilidad”.<\/p>\n “A pesar de esta importante barrera de entrada, no podemos subestimar las capacidades y la determinaci\u00f3n de los grupos de ransomware para aumentar los privilegios y avanzar en su ruta de ataque una vez que obtienen el acceso inicial”.<\/p>\n El desarrollo se produce luego de que Mandiant, propiedad de Google, revelara que un grupo de amenazas con motivaciones financieras llamado UNC4393 est\u00e1 utilizando el acceso inicial obtenido a trav\u00e9s de una puerta trasera C\/C++ con nombre en c\u00f3digo ZLoader (tambi\u00e9n conocido como DELoader, Terdot o Silent Night) para distribuir Black Basta, alej\u00e1ndose de QakBot y DarkGate.<\/p>\n “UNC4393 ha demostrado su voluntad de cooperar con m\u00faltiples grupos de distribuci\u00f3n para completar sus acciones sobre los objetivos”, dijo la firma de inteligencia de amenazas. dicho<\/a>“Este aumento m\u00e1s reciente de la actividad de Silent Night, que comenz\u00f3 a principios de este a\u00f1o, se ha producido principalmente a trav\u00e9s de publicidad maliciosa. Esto marc\u00f3 un cambio notable respecto del phishing como \u00fanico medio conocido de acceso inicial a UNC4393”.<\/p>\n La secuencia de ataque implica hacer uso del acceso inicial para lanzar Cobalt Strike Beacon y una combinaci\u00f3n de herramientas personalizadas y disponibles para realizar el reconocimiento, sin mencionar el uso de RDP y Server Message Block (SMB) para el movimiento lateral. La persistencia se logra mediante SystemBC.<\/p>\n ZLoader, que resurgi\u00f3 despu\u00e9s de una larga pausa a fines del a\u00f1o pasado, ha estado bajo desarrollo activo, con nuevas variantes del malware que se propagan a trav\u00e9s de una puerta trasera de PowerShell conocida como PowerDash<\/a>por Hallazgos recientes<\/a> del equipo de inteligencia cibern\u00e9tica de Walmart.<\/p>\n En los \u00faltimos a\u00f1os, los actores de ransomware han demostrado un apetito por aprovechar nuevas t\u00e9cnicas para maximizar el impacto y evadir la detecci\u00f3n, apuntando cada vez m\u00e1s a los hipervisores ESXi y aprovechando Fallas de seguridad recientemente descubiertas<\/a> en servidores con conexi\u00f3n a Internet para violar objetivos de inter\u00e9s.<\/p>\n Por ejemplo, Qilin (tambi\u00e9n conocido como Agenda) se desarroll\u00f3 originalmente en el lenguaje de programaci\u00f3n Go, pero desde entonces se ha vuelto a desarrollar con Rust, lo que indica un cambio hacia la construcci\u00f3n de malware con lenguajes seguros para la memoria. Se ha descubierto que los ataques recientes que involucran ransomware aprovechan debilidades conocidas en el software Fortinet y Veeam Backup & Replication para obtener acceso inicial.<\/p>\n “El ransomware Qilin es capaz de autopropagarse a trav\u00e9s de una red local”, dijo Group-IB dicho<\/a> En un an\u00e1lisis reciente, agreg\u00f3 que tambi\u00e9n est\u00e1 equipado para “realizar autodistribuci\u00f3n utilizando VMware vCenter”.<\/p>\n Otro malware notable empleado en los ataques de ransomware Qilin es una herramienta denominada Asesino ultra<\/a> que est\u00e1 dise\u00f1ado para deshabilitar el popular software de detecci\u00f3n y respuesta de puntos finales (EDR) que se ejecuta en el host infectado, as\u00ed como borrar todos los registros de eventos de Windows para eliminar todos los indicadores de compromiso.<\/p>\n Se recomienda a las organizaciones instalar las \u00faltimas actualizaciones de software, practicar la higiene de credenciales, aplicar la autenticaci\u00f3n de dos factores y tomar medidas para proteger los activos cr\u00edticos mediante procedimientos de monitoreo adecuados y planes de respaldo y recuperaci\u00f3n.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Grupos-de-ransomware-aprovechan-una-falla-de-VMware-ESXi-para.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n