M\u00faltiples actores de amenazas, incluido un grupo de estado-naci\u00f3n, explotaron una falla de seguridad cr\u00edtica de hace tres a\u00f1os en Progress Telerik para ingresar a una entidad federal no identificada en los EE. UU.<\/p>\n
El divulgaci\u00f3n<\/a> viene de un asesoramiento conjunto<\/a> emitido por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), la Oficina Federal de Investigaciones (FBI) y el Centro de An\u00e1lisis e Intercambio de Informaci\u00f3n Multiestatal (MS-ISAC).<\/p>\n “La explotaci\u00f3n de esta vulnerabilidad permiti\u00f3 a los actores malintencionados ejecutar con \u00e9xito c\u00f3digo remoto en el servidor web de Microsoft Internet Information Services (IIS) de la agencia del poder ejecutivo civil federal (FCEB)”, dijeron las agencias. dicho<\/a>.<\/p>\n Los indicadores de compromiso (IoC) asociados con la irrupci\u00f3n digital se identificaron desde noviembre de 2022 hasta principios de enero de 2023.<\/p>\n rastreado como CVE-2019-18935<\/a> (puntuaci\u00f3n CVSS: 9,8), el problema relacionado con un .NET vulnerabilidad de deserializaci\u00f3n<\/a> que afecta a la interfaz de usuario de Progress Telerik para ASP.NET AJAX que, si no se corrige, podr\u00eda conducir a la ejecuci\u00f3n remota de c\u00f3digo<\/a>.<\/p>\n Vale la pena se\u00f1alar aqu\u00ed que CVE-2019-18935 ha encontrado previamente un lugar entre algunos de los m\u00e1s com\u00fanmente<\/a> vulnerabilidades explotadas abusadas por varios actores de amenazas en 2020 y 2021.<\/p>\n CVE-2019-18935, en conjunto con CVE-2017-11317<\/a>tambi\u00e9n ha sido armado por un actor de amenazas rastreado como Praying Mantis (tambi\u00e9n conocido como TG2021) para infiltrarse en las redes de organizaciones p\u00fablicas y privadas en los EE. UU.<\/p>\n El mes pasado, CISA tambi\u00e9n agreg\u00f3 CVE-2017-11357<\/a> \u2013 otro error de ejecuci\u00f3n remota de c\u00f3digo que afecta a la interfaz de usuario de Telerik \u2013 al cat\u00e1logo de vulnerabilidades conocidas explotadas (KEV), citando evidencia de explotaci\u00f3n activa.<\/p>\n Se dice que los actores de amenazas aprovecharon la falla para cargar y ejecutar archivos maliciosos de biblioteca de enlaces din\u00e1micos (DLL) disfrazados de im\u00e1genes PNG a trav\u00e9s de la proceso w3wp.exe<\/a>.<\/p>\n Los artefactos DLL est\u00e1n dise\u00f1ados para recopilar informaci\u00f3n del sistema, cargar bibliotecas adicionales, enumerar archivos y procesos, y filtrar los datos a un servidor remoto.<\/p>\n Descubra los peligros ocultos de las aplicaciones SaaS de terceros<\/p>\n \u00bfConoce los riesgos asociados con el acceso de aplicaciones de terceros a las aplicaciones SaaS de su empresa? \u00danase a nuestro seminario web para conocer los tipos de permisos que se otorgan y c\u00f3mo minimizar el riesgo.<\/p>\n RESERVA TU ASIENTO<\/a><\/div>\n Otro conjunto de ataques, observado ya en agosto de 2021 y probablemente montado por un actor ciberdelincuente denominado Grupo XE<\/a>implicaba el uso de t\u00e9cnicas de evasi\u00f3n antes mencionadas para eludir la detecci\u00f3n.<\/p>\n Estos archivos DLL soltaron y ejecutaron utilidades de shell inversas (remotas) para comunicaciones sin cifrar con un dominio de comando y control para soltar cargas \u00fatiles adicionales, incluido un shell web ASPX para acceso persistente de puerta trasera.<\/p>\n El shell web est\u00e1 equipado para “enumerar unidades; enviar, recibir y eliminar archivos; y ejecutar comandos entrantes” y “contiene una interfaz para buscar f\u00e1cilmente archivos, directorios o unidades en el sistema, y \u200b\u200bpermite al usuario cargar o descargar archivos a cualquier directorio”.<\/p>\n Para contrarrestar tales ataques, se recomienda que las organizaciones actualicen sus instancias de Telerik UI ASP.NET AJAX a la \u00faltima versi\u00f3n, implementen la segmentaci\u00f3n de la red y apliquen la autenticaci\u00f3n multifactor resistente al phishing para las cuentas que tienen acceso privilegiado.<\/p>\n <\/p>\n