Se estima que un repositorio de GitHub ahora eliminado que anunciaba una herramienta de WordPress para publicar publicaciones en el sistema de gesti\u00f3n de contenidos (CMS) en l\u00ednea permiti\u00f3 la filtraci\u00f3n de m\u00e1s de 390.000 credenciales.<\/p>\n
La actividad maliciosa es parte de una campa\u00f1a de ataque m\u00e1s amplia emprendida por un actor de amenazas, denominado MUT-1244 (donde MUT se refiere a “amenaza misteriosa no atribuida”) por Datadog Security Labs, que involucra phishing y varios repositorios troyanizados de GitHub que albergan pruebas de concepto. (PoC) para explotar fallos de seguridad conocidos.<\/p>\n
“Se cree que las v\u00edctimas son actores ofensivos, incluidos pentesters e investigadores de seguridad, as\u00ed como actores de amenazas maliciosas, y se les exfiltr\u00f3 informaci\u00f3n confidencial como claves privadas SSH y claves de acceso de AWS”, investigadores Christophe Tafani-Dereeper, Matt Muir y Adrian Korn. dijo en un an\u00e1lisis compartido con The Hacker News.<\/p>\n
No sorprende que los investigadores de seguridad hayan sido un objetivo atractivo para los actores de amenazas, incluidos los grupos de estados-naci\u00f3n de Corea del Norte, ya que comprometer sus sistemas podr\u00eda generar informaci\u00f3n sobre posibles vulnerabilidades relacionadas con fallas de seguridad no reveladas en las que podr\u00edan estar trabajando, que luego podr\u00edan aprovecharse. para organizar nuevos ataques.<\/p>\n
![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/12\/Mas-de-390000-credenciales-de-WordPress-robadas-a-traves-de.png\")
<\/a><\/center><\/div>\nEn los \u00faltimos a\u00f1os ha surgido una tendencia en la que atacantes<\/a> intentar capitalizar<\/a> en revelaciones de vulnerabilidades para crear repositorios de GitHub utilizando perfiles falsos que afirman albergar PoC para las fallas pero que en realidad est\u00e1n dise\u00f1ados para realizar robo de datos e incluso exigir un pago a cambio del exploit.<\/p>\n Las campa\u00f1as emprendidas por MUT-1244 no s\u00f3lo implican el uso de repositorios troyanizados de GitHub sino tambi\u00e9n correos electr\u00f3nicos de phishing, los cuales act\u00faan como un conducto para entregar una carga \u00fatil de segunda etapa capaz de eliminar un minero de criptomonedas, as\u00ed como robar informaci\u00f3n privada del sistema. Claves SSH, variables de entorno y contenidos asociados con carpetas espec\u00edficas (por ejemplo, ~\/.aws) a File.io.<\/p>\n Uno de esos repositorios era “github[.]com\/hpc20235\/yawpp”, que dec\u00eda ser “Otro p\u00f3ster m\u00e1s de WordPress”. Antes de ser eliminado por GitHub, conten\u00eda dos scripts: uno para validar las credenciales de WordPress y otro para crear publicaciones utilizando el API XML-RPC<\/a>.<\/p>\n Pero la herramienta tambi\u00e9n albergaba c\u00f3digo malicioso en forma de una dependencia npm maliciosa, un paquete llamado @0xengine\/xmlrpc que implementaba el mismo malware. Se public\u00f3 originalmente en npm en octubre de 2023 como un servidor y cliente XML-RPC basado en JavaScript para Node.js. La biblioteca ya no est\u00e1 disponible para descargar.<\/p>\n Vale la pena se\u00f1alar que la empresa de ciberseguridad Checkmarx revel\u00f3 el mes pasado que el paquete npm permaneci\u00f3 activo durante m\u00e1s de un a\u00f1o, atrayendo alrededor de 1.790 descargas.<\/p>\n Se dice que el proyecto yawpp GitHub permiti\u00f3 la filtraci\u00f3n de m\u00e1s de 390.000 credenciales, probablemente para cuentas de WordPress, a una cuenta de Dropbox controlada por un atacante, comprometiendo a actores de amenazas no relacionados que ten\u00edan acceso a estas credenciales a trav\u00e9s de medios il\u00edcitos.<\/p>\n Otro m\u00e9todo utilizado para entregar la carga \u00fatil implica enviar correos electr\u00f3nicos de phishing a acad\u00e9micos en los que se les enga\u00f1a para que visiten enlaces que les indican que inicien la terminal y copie y pegue un comando de shell para realizar una supuesta actualizaci\u00f3n del kernel. El descubrimiento marca la primera vez que un estilo ClickFix ataque<\/a> ha sido documentado contra sistemas Linux.<\/p>\n “El segundo vector de acceso inicial que utiliza MUT-1244 es un conjunto de usuarios maliciosos de GitHub que publican pruebas de conceptos falsas para CVE”, explicaron los investigadores. “La mayor\u00eda de ellos fueron creados en octubre o noviembre. [2024]no tienen actividad leg\u00edtima y tienen una imagen de perfil generada por IA”.<\/p>\n<\/a><\/div>\n