Una nueva campa\u00f1a de recopilaci\u00f3n de inteligencia vinculada al prol\u00edfico Lazarus Group, patrocinado por el estado de Corea del Norte, aprovech\u00f3 fallas de seguridad conocidas en dispositivos Zimbra sin parchear para comprometer los sistemas de las v\u00edctimas.<\/p>\n
Eso es seg\u00fan la empresa finlandesa de ciberseguridad WithSecure (anteriormente F-Secure), que nombr\u00f3 en c\u00f3digo el incidente. sin pi\u00f1a<\/b> en referencia a un mensaje de error que se usa en una de las puertas traseras.<\/p>\n
Los objetivos de la operaci\u00f3n maliciosa incluyeron una organizaci\u00f3n de investigaci\u00f3n de atenci\u00f3n m\u00e9dica en India, el departamento de ingenier\u00eda qu\u00edmica de una universidad de investigaci\u00f3n l\u00edder, as\u00ed como un fabricante de tecnolog\u00eda utilizada en los sectores de energ\u00eda, investigaci\u00f3n, defensa y atenci\u00f3n m\u00e9dica, lo que sugiere un intento de romper el suministro. cadena.<\/p>\n
Se estima que el equipo de pirater\u00eda export\u00f3 aproximadamente 100 GB de datos luego del compromiso de un cliente an\u00f3nimo, y es probable que la irrupci\u00f3n digital tenga lugar en el tercer trimestre de 2022.<\/p>\n
“El actor de amenazas obtuvo acceso a la red al explotar un servidor de correo Zimbra vulnerable a fines de agosto”, dijo WithSecure en un comunicado. informe tecnico detallado<\/a> compartido con The Hacker News.<\/p>\n Las fallas de seguridad utilizadas para el acceso inicial son CVE-2022-27925 y CVE-2022-37042, las cuales podr\u00edan ser objeto de abuso para obtener la ejecuci\u00f3n remota de c\u00f3digo en el servidor subyacente.<\/p>\n Este paso fue seguido por la instalaci\u00f3n de shells web y la explotaci\u00f3n de la vulnerabilidad de escalada de privilegios locales en el servidor Zimbra (es decir, Pwnkit, tambi\u00e9n conocido como CVE-2021-4034), lo que permiti\u00f3 al actor de amenazas recolectar datos confidenciales del buz\u00f3n.<\/p>\n Posteriormente, en octubre de 2022, se dice que el adversario realiz\u00f3 movimientos laterales, reconocimiento y, en \u00faltima instancia, implement\u00f3 puertas traseras como Dtrack y una versi\u00f3n actualizada de GREASE.<\/p>\n GRASA<\/a>que se ha atribuido como obra de otro grupo de amenazas afiliado a Corea del Norte llamado Kimsuky, viene con capacidades<\/a> para crear nuevas cuentas de administrador con privilegios de protocolo de escritorio remoto (RDP) y, al mismo tiempo, eludir las reglas del cortafuegos.<\/p>\n Dtrack, por otro lado, se ha empleado en ataques cibern\u00e9ticos dirigidos a una variedad de verticales de la industria, y tambi\u00e9n en ataques motivados financieramente que involucran el uso de ransomware Maui.<\/p>\n “A principios de noviembre, Cobalt Strike [command-and-control] se detectaron balizas desde un servidor interno a dos direcciones IP de actores de amenazas”, se\u00f1alaron los investigadores Sami Ruohonen y Stephen Robinson, y agregaron que la exfiltraci\u00f3n de datos ocurri\u00f3 desde el 5 de noviembre de 2022 hasta el 11 de noviembre de 2022.<\/p>\n En la intrusi\u00f3n tambi\u00e9n se utilizaron herramientas como Plink y 3Proxy para crear un proxy en el sistema de la v\u00edctima, haci\u00e9ndose eco de los hallazgos anteriores de Cisco Talos sobre los ataques de Lazarus Group dirigidos a los proveedores de energ\u00eda.<\/p>\n