Una campa\u00f1a de amenazas en curso denominada VEILDrive <\/b>Se ha observado que aprovecha servicios leg\u00edtimos de Microsoft, incluidos Teams, SharePoint, Quick Assist y OneDrive, como parte de su modus operandi.<\/p>\n
“Aprovechando los servicios SaaS de Microsoft, incluidos Teams, SharePoint, Quick Assist y OneDrive, el atacante aprovech\u00f3 las infraestructuras confiables de organizaciones previamente comprometidas para distribuir ataques de phishing y almacenar malware”, dijo la empresa israel\u00ed de ciberseguridad Hunters. dicho<\/a> en un nuevo informe.<\/p>\n “Esta estrategia centrada en la nube permiti\u00f3 al actor de amenazas evitar la detecci\u00f3n por parte de los sistemas de monitoreo convencionales”.<\/p>\n Hunters dijo que descubri\u00f3 la campa\u00f1a en septiembre de 204 despu\u00e9s de que respondiera a un incidente cibern\u00e9tico dirigido a una organizaci\u00f3n de infraestructura cr\u00edtica en los Estados Unidos. No revel\u00f3 el nombre de la empresa, sino que le dio la designaci\u00f3n “Org C”.<\/p>\n Se cree que la actividad comenz\u00f3 un mes antes y el ataque culmin\u00f3 con la implementaci\u00f3n de un malware basado en Java que emplea OneDrive para comando y control (C2).<\/p>\n Se dice que el actor de amenazas detr\u00e1s de la operaci\u00f3n envi\u00f3 mensajes de Teams a cuatro empleados de la Organizaci\u00f3n C haci\u00e9ndose pasar por un miembro del equipo de TI y solicitando acceso remoto a sus sistemas a trav\u00e9s de la herramienta Quick Assist.<\/p>\n Lo que hizo que este m\u00e9todo de compromiso inicial se destacara es que el atacante utiliz\u00f3 una cuenta de usuario que pertenec\u00eda a una posible v\u00edctima anterior (Organizaci\u00f3n A), en lugar de crear una nueva cuenta para este prop\u00f3sito.<\/p>\n “Los mensajes de Microsoft Teams recibidos por los usuarios espec\u00edficos de la Organizaci\u00f3n C fueron posibles gracias a Microsoft Teams”Acceso externo<\/a>‘, que permite la comunicaci\u00f3n uno a uno con cualquier organizaci\u00f3n externa de forma predeterminada”, dijo Hunters. <\/p>\n En el siguiente paso, el actor de amenazas comparti\u00f3 a trav\u00e9s del chat un enlace de descarga de SharePoint a un archivo ZIP (“Client_v8.16L.zip”) que estaba alojado en un inquilino diferente (Organizaci\u00f3n B). El archivo ZIP inclu\u00eda, entre otros archivos, otra herramienta de acceso remoto llamada LiteManager.<\/p>\n El acceso remoto obtenido a trav\u00e9s de Quick Assist se utiliz\u00f3 luego para crear tareas programadas en el sistema para ejecutar peri\u00f3dicamente el software de administraci\u00f3n y monitoreo remoto (RMM) LiteManager. <\/p>\n Tambi\u00e9n se descarga un segundo archivo ZIP (“Cliento.zip”) utilizando el mismo m\u00e9todo que inclu\u00eda el malware basado en Java en forma de archivo Java (JAR) y todo el Java Development Kit (JDK) para ejecutarlo.<\/p>\n El malware est\u00e1 dise\u00f1ado para conectarse a una cuenta OneDrive controlada por el adversario utilizando credenciales codificadas de Entra ID (anteriormente Azure Active Directory), us\u00e1ndola como C2 para buscar y ejecutar comandos de PowerShell en el sistema infectado mediante Microsoft Graph API. <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/El-ataque-VEILDrive-aprovecha-los-servicios-de-Microsoft-para-evadir.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n