Se culp\u00f3 a los actores de amenazas patrocinados por el gobierno iran\u00ed por comprometer a una agencia federal de EE. UU. al aprovechar la vulnerabilidad Log4Shell en un servidor VMware Horizon sin parches.<\/p>\n
Los detalles, que fueron compartidos por la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), surgen en respuesta a los esfuerzos de respuesta a incidentes realizados por la autoridad desde mediados de junio hasta mediados de julio de 2022.<\/p>\n
“Los actores de amenazas cibern\u00e9ticas explotaron la vulnerabilidad de Log4Shell en un servidor VMware Horizon sin parches, instalaron el software de criptominer\u00eda XMRig, se movieron lateralmente al controlador de dominio (DC), comprometieron las credenciales y luego implantaron proxies inversos Ngrok en varios hosts para mantener la persistencia”, CISA se\u00f1alado<\/a>.<\/p>\n LogShell, tambi\u00e9n conocido como CVE-2021-44228, es una falla cr\u00edtica de ejecuci\u00f3n remota de c\u00f3digo en la biblioteca de registro basada en Java Apache Log4j ampliamente utilizada. Fue abordado por los mantenedores del proyecto de c\u00f3digo abierto en diciembre de 2021.<\/p>\n El \u00faltimo desarrollo marca el abuso continuo de las vulnerabilidades de Log4j en los servidores VMware Horizon por parte de grupos patrocinados por el estado iran\u00ed desde principios de a\u00f1o. CISA no atribuy\u00f3 el evento a un grupo de hackers en particular.<\/p>\n Sin embargo, un aviso conjunto publicado por Australia, Canad\u00e1, el Reino Unido y los EE. UU. en septiembre de 2022 se\u00f1al\u00f3 al Cuerpo de la Guardia Revolucionaria Isl\u00e1mica (IRGC) de Ir\u00e1n por aprovechar la deficiencia para llevar a cabo actividades posteriores a la explotaci\u00f3n.<\/p>\n Se cree que la organizaci\u00f3n afectada, seg\u00fan CISA, fue violada ya en febrero de 2022 al utilizar la vulnerabilidad como arma para agregar una nueva regla de exclusi\u00f3n a Windows Defender que incluy\u00f3 en la lista de permitidos todo el disco C:.<\/p>\n Al hacerlo, el adversario pudo descargar un script de PowerShell sin activar ning\u00fan an\u00e1lisis antivirus que, a su vez, recuper\u00f3 el XMRig<\/a> software de miner\u00eda de criptomonedas alojado en un servidor remoto en forma de archivo ZIP.<\/p>\n El acceso inicial permiti\u00f3 adem\u00e1s a los actores obtener m\u00e1s cargas \u00fatiles, como PsExec<\/a>, Mimikatz<\/a>y Ngrok<\/a>adem\u00e1s de usar PDR<\/a> para el movimiento lateral y deshabilitar Windows Defender en los puntos finales.<\/p>\n “Los actores de amenazas tambi\u00e9n cambiaron la contrase\u00f1a de la cuenta de administrador local en varios hosts como una copia de seguridad en caso de que la cuenta de administrador de dominio deshonesto fuera detectada y cancelada”, se\u00f1al\u00f3 CISA.<\/p>\n Tambi\u00e9n se detect\u00f3 un intento fallido de volcar el proceso del Servicio de subsistema de autoridad de seguridad local (LSASS) mediante el Administrador de tareas de Windows, que fue bloqueado por la soluci\u00f3n antivirus implementada en el entorno de TI.<\/p>\n Microsoft, en un informe del mes pasado, revel\u00f3 que los ciberdelincuentes apuntan a las credenciales en el proceso LSASS debido al hecho de que “puede almacenar no solo las credenciales del sistema operativo de un usuario actual, sino tambi\u00e9n las de un administrador de dominio”.<\/p>\n “Descargar las credenciales de LSASS es importante para los atacantes porque si descargan con \u00e9xito las contrase\u00f1as de dominio, pueden, por ejemplo, usar herramientas leg\u00edtimas como PsExec o Windows Management Instrumentation (WMI) para moverse lateralmente a trav\u00e9s de la red”, dijo el gigante tecnol\u00f3gico. dijo<\/a>.<\/p>\n <\/p>\n<\/div>\n