{"id":1443759,"date":"2024-11-16T11:48:35","date_gmt":"2024-11-16T11:48:35","guid":{"rendered":"https:\/\/teknomers.com\/es\/advertencia-malware-deepdata-aprovecha-un-defecto-no-parcheado-de-fortinet-para-robar-credenciales-de-vpn\/"},"modified":"2024-11-16T11:48:41","modified_gmt":"2024-11-16T11:48:41","slug":"advertencia-malware-deepdata-aprovecha-un-defecto-no-parcheado-de-fortinet-para-robar-credenciales-de-vpn","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/advertencia-malware-deepdata-aprovecha-un-defecto-no-parcheado-de-fortinet-para-robar-credenciales-de-vpn\/","title":{"rendered":"Advertencia: malware DEEPDATA aprovecha un defecto no parcheado de Fortinet para robar credenciales de VPN"},"content":{"rendered":"


\n<\/p>\n

\n
<\/a><\/div>\n

Un actor de amenazas conocido como DescaradoBamb\u00fa<\/strong> ha explotado una falla de seguridad no resuelta en FortiClient para Windows de Fortinet para extraer credenciales de VPN como parte de un marco modular llamado DATOS PROFUNDO<\/b>.<\/p>\n

Volexity, que revel\u00f3 los hallazgos el viernes, dijo que identific\u00f3 la explotaci\u00f3n de d\u00eda cero de la vulnerabilidad de divulgaci\u00f3n de credenciales en julio de 2024, y describi\u00f3 a BrazenBamboo como el desarrollador detr\u00e1s de DEEPDATA, DEEPPOST y LightSpy.<\/p>\n

“DEEPDATA es una herramienta modular post-explotaci\u00f3n para el sistema operativo Windows que se utiliza para recopilar una amplia gama de informaci\u00f3n de los dispositivos de destino”, afirman los investigadores de seguridad Callum Roxan, Charlie Gardner y Paul Rascagneres. dicho<\/a> Viernes.<\/p>\n

El malware sali\u00f3 a la luz por primera vez a principios de esta semana, cuando BlackBerry detall\u00f3 el marco de vigilancia basado en Windows utilizado por el actor de amenazas APT41 vinculado a China para recopilar datos de WhatsApp, Telegram, Signal, WeChat, LINE, QQ, Skype, Microsoft Outlook, DingDing, Feishu, KeePass, as\u00ed como contrase\u00f1as de aplicaciones, informaci\u00f3n del navegador web, puntos de acceso Wi-Fi y software instalado.<\/p>\n

\"Ciberseguridad\"<\/a><\/center><\/div>\n

“Desde el desarrollo inicial del implante de software esp\u00eda LightSpy en 2022, el atacante ha estado trabajando de manera persistente y met\u00f3dica en el objetivo estrat\u00e9gico de plataformas de comunicaci\u00f3n, con \u00e9nfasis en el acceso sigiloso y persistente”, dijo el equipo de investigaci\u00f3n de amenazas de BlackBerry. anotado<\/a>.<\/p>\n

El componente principal de DEEPDATA es un cargador de biblioteca de v\u00ednculos din\u00e1micos (DLL) llamado “data.dll” que est\u00e1 dise\u00f1ado para descifrar y ejecutar 12 complementos diferentes utilizando un m\u00f3dulo orquestador (“frame.dll”). Entre los complementos est\u00e1 presente una DLL “FortiClient” no documentada anteriormente que puede capturar credenciales de VPN.<\/p>\n

“Se descubri\u00f3 que este complemento explota una vulnerabilidad de d\u00eda cero en el cliente VPN de Fortinet en Windows que le permite extraer las credenciales del usuario de la memoria del proceso del cliente”, dijeron los investigadores.<\/p>\n

Volexity dijo que inform\u00f3 la falla a Fortinet el 18 de julio de 2024, pero se\u00f1al\u00f3 que la vulnerabilidad a\u00fan no se ha corregido. The Hacker News se comunic\u00f3 con la compa\u00f1\u00eda para hacer comentarios y actualizaremos la historia si recibimos una respuesta.<\/p>\n

Otra herramienta que forma parte de la cartera de malware de BrazenBamboo es DEEPPOST, una herramienta de exfiltraci\u00f3n de datos posterior a la explotaci\u00f3n que es capaz de exfiltrar archivos a un punto final remoto.<\/p>\n

\"\"<\/a><\/div>\n

DEEPDATA y DEEPPOST se suman a las ya poderosas capacidades de ciberespionaje del actor de amenazas, ampliando LightSpy, que viene en diferentes versiones para macOS, iOS y ahora Windows.<\/p>\n

“La arquitectura para la variante de Windows de Esp\u00eda ligera<\/a> es diferente de otras variantes documentadas del sistema operativo”, dijo Volexity. “Esta variante es implementada por un instalador que implementa una biblioteca para ejecutar shellcode en la memoria. El shellcode descarga y decodifica el componente del orquestador desde el [command-and-control] servidor.”<\/p>\n

El orquestador se ejecuta mediante un cargador llamado BH_A006, que ya hab\u00eda sido utilizado anteriormente por un presunto grupo de amenazas chino conocido como Space Pirates, que tiene un historial de apuntar a entidades rusas.<\/p>\n

\"Ciberseguridad\"<\/a><\/center><\/div>\n

Dicho esto, actualmente no est\u00e1 claro si esta superposici\u00f3n se debe a si BH_A006<\/a> es un malware disponible comercialmente o es evidencia de un intendente digital responsable de supervisar un conjunto centralizado de herramientas y t\u00e9cnicas entre los actores de amenazas chinos.<\/p>\n

El orquestador LightSpy, una vez iniciado, utiliza WebSocket y HTTPS para la comunicaci\u00f3n para la exfiltraci\u00f3n de datos, respectivamente, y aprovecha hasta ocho complementos para grabar la c\u00e1mara web, iniciar un shell remoto para ejecutar comandos y recopilar audio, datos del navegador, archivos, pulsaciones de teclas y pantalla. capturas y una lista del software instalado.<\/p>\n

LightSpy y DEEPDATA comparten varias superposiciones a nivel de c\u00f3digo e infraestructura, lo que sugiere que las dos familias de malware probablemente sean obra de una empresa privada a la que se le ha encomendado la tarea de desarrollar herramientas de pirater\u00eda para operadores gubernamentales, como lo demuestran empresas como Chengdu 404 e I-Soon. .<\/p>\n

“BrazenBamboo es un actor de amenazas con buenos recursos que mantiene capacidades multiplataforma con longevidad operativa”, concluy\u00f3 Volexity. “La amplitud y madurez de sus capacidades indica tanto una funci\u00f3n de desarrollo capaz como requisitos operativos que impulsan el resultado del desarrollo”.<\/p>\n

<\/p>\n

\u00bfEncontr\u00f3 interesante este art\u00edculo? S\u00edguenos en Gorjeo \uf099<\/i><\/a> y LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n