Es probable que actores maliciosos est\u00e9n aprovechando exploits de prueba de concepto (PoC) disponibles p\u00fablicamente para fallas de seguridad recientemente reveladas en Progress Software WhatsUp Gold para llevar a cabo ataques oportunistas.<\/p>\n
Se dice que la actividad comenz\u00f3 el 30 de agosto de 2024, apenas cinco horas despu\u00e9s de que se lanzara una prueba de concepto. liberado<\/a> para CVE-2024-6670<\/a> (Puntuaci\u00f3n CVSS: 9,8) por la investigadora de seguridad Sina Kheirkhah del Equipo de Invocaci\u00f3n, a quien tambi\u00e9n se le atribuye el descubrimiento y el informe CVE-2024-6671<\/a> (Puntuaci\u00f3n CVSS: 9,8).<\/p>\n Ambas vulnerabilidades cr\u00edticas, que permiten a un atacante no autenticado recuperar la contrase\u00f1a cifrada de un usuario, fueron… parcheado<\/a> por Progress a mediados de agosto de 2024.<\/p>\n “La cronolog\u00eda de los acontecimientos sugiere que, a pesar de la disponibilidad de parches, algunas organizaciones no pudieron aplicarlos r\u00e1pidamente, lo que provoc\u00f3 incidentes casi inmediatamente despu\u00e9s de la publicaci\u00f3n de la PoC”, dijeron las investigadoras de Trend Micro Hitomi Kimura y Maria Emreen Viray. dicho<\/a> en un an\u00e1lisis del jueves.<\/p>\n Los ataques observados por la empresa de ciberseguridad implican eludir la autenticaci\u00f3n de WhatsUp Gold para explotar el script de PowerShell de Active Monitor y, en \u00faltima instancia, descargar varias herramientas de acceso remoto para obtener persistencia en el host de Windows.<\/p>\n Esto incluye Atera Agent, Radmin, SimpleHelp Remote Access y Splashtop Remote, y tanto Atera Agent como Splashtop Remote se instalan mediante un \u00fanico archivo de instalaci\u00f3n MSI recuperado de un servidor remoto.<\/p>\n “El proceso de sondeo NmPoller.exe, el ejecutable de WhatsUp Gold, parece ser capaz de alojar un script llamado Active Monitor PowerShell Script como una funci\u00f3n leg\u00edtima”, explicaron los investigadores. “Los actores de amenazas en este caso lo eligieron para ejecutar c\u00f3digo arbitrario de forma remota”.<\/p>\n Si bien no se han detectado acciones de explotaci\u00f3n posteriores, el uso de varios programas de acceso remoto apunta a la participaci\u00f3n de un actor de ransomware.<\/p>\n Esta es la segunda vez que las vulnerabilidades de seguridad en WhatsUp Gold se han utilizado activamente como arma. A principios del mes pasado, la Shadowserver Foundation dijo que hab\u00eda observado intentos de explotaci\u00f3n contra CVE-2024-4885 (puntuaci\u00f3n CVSS: 9,8), otro error cr\u00edtico que Progress resolvi\u00f3 en junio de 2024.<\/p>\n La revelaci\u00f3n se produce semanas despu\u00e9s de que Trend Micro tambi\u00e9n revelara que los actores de amenazas est\u00e1n explotando una falla de seguridad ahora parcheada en Atlassian Confluence Data Center y Confluence Server (CVE-2023-22527<\/a>Puntuaci\u00f3n CVSS: 10.0) para entregar el shell web de Godzilla.<\/p>\n “La vulnerabilidad CVE-2023-22527 contin\u00faa siendo ampliamente explotada por una amplia gama de actores de amenazas que abusan de esta vulnerabilidad para realizar actividades maliciosas, lo que la convierte en un riesgo de seguridad significativo para las organizaciones de todo el mundo”, dijo la empresa. dicho<\/a>.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Progress-WhatsUp-Gold-fue-explotado-apenas-horas-despues-del-lanzamiento.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n