Se ha observado a un actor cibern\u00e9tico motivado financieramente abusando de Microsoft Azure Consola serie<\/a> en m\u00e1quinas virtuales (VM) para instalar herramientas de administraci\u00f3n remota de terceros dentro de entornos comprometidos.<\/p>\n Mandiant, propiedad de Google, atribuy\u00f3 la actividad a un grupo de amenazas que rastrea bajo el nombre UNC3944<\/strong>que tambi\u00e9n se conoce como 0ktapus asado y ara\u00f1a dispersa.<\/p>\n “Este m\u00e9todo de ataque fue \u00fanico en el sentido de que evit\u00f3 muchos de los m\u00e9todos de detecci\u00f3n tradicionales empleados en Azure y proporcion\u00f3 al atacante acceso administrativo completo a la m\u00e1quina virtual”, dijo la firma de inteligencia de amenazas. dicho<\/a>.<\/p>\n Se sabe que el adversario emergente, que sali\u00f3 a la luz por primera vez a fines del a\u00f1o pasado, aprovecha los ataques de intercambio de SIM para violar las empresas de telecomunicaciones y subcontrataci\u00f3n de procesos comerciales (BPO) desde al menos mayo de 2022.<\/p>\n Posteriormente, Mandiant tambi\u00e9n encontr\u00f3 UNC3944 utilizando un cargador llamado STONESTOP para instalar un controlador firmado malicioso llamado POORTRY que est\u00e1 dise\u00f1ado para finalizar procesos asociados con el software de seguridad y eliminar archivos como parte de un ataque BYOVD.<\/p>\n Actualmente no se sabe c\u00f3mo el actor de amenazas realiza los intercambios de SIM, aunque se sospecha que la metodolog\u00eda de acceso inicial implica el uso de mensajes SMS de phishing dirigidos a usuarios privilegiados para obtener sus credenciales y luego organizar un intercambio de SIM para recibir la autenticaci\u00f3n de dos factores (2FA). ) token a una tarjeta SIM bajo su control.<\/p>\n Armado con el acceso elevado, el actor de amenazas luego se mueve para inspeccionar la red objetivo explotando Extensiones de m\u00e1quinas virtuales de Azure<\/a> como Azure Network Watcher, Azure Windows Guest Agent, VMSnapshot y la configuraci\u00f3n de invitados de Azure Policy.<\/p>\n Aprenda a detener el ransomware con protecci\u00f3n en tiempo real<\/p>\n \u00danase a nuestro seminario web y aprenda c\u00f3mo detener los ataques de ransomware en seco con MFA en tiempo real y protecci\u00f3n de cuenta de servicio.<\/p>\n Guardar mi asiento!<\/a><\/div>\n “Una vez que el atacante completa su reconocimiento, emplea la funcionalidad de la consola en serie para obtener un s\u00edmbolo del sistema administrativo dentro de una m\u00e1quina virtual de Azure”, dijo Mandiant, y agreg\u00f3 que observ\u00f3 que UNC3944 usaba PowerShell para implementar herramientas leg\u00edtimas de administraci\u00f3n remota. <\/p>\n El desarrollo es otra evidencia m\u00e1s de que los atacantes se aprovechan de vivir de la tierra (LoteL<\/a>) t\u00e9cnicas para sostener y avanzar un ataque, al mismo tiempo que eluden la detecci\u00f3n.<\/p>\n “El uso novedoso de la consola serie por parte de los atacantes es un recordatorio de que estos ataques ya no se limitan a la capa del sistema operativo”, dijo Mandiant.<\/p>\n “Desafortunadamente, los recursos de la nube a menudo se malinterpretan, lo que lleva a configuraciones err\u00f3neas que pueden dejar estos activos vulnerables a los atacantes. Si bien los m\u00e9todos de acceso inicial, movimiento lateral y persistencia var\u00edan de un atacante a otro, una cosa est\u00e1 clara: los atacantes tienen sus ojos en la nube.”<\/p>\n <\/p>\n![\"Azur\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhPsvDRpwJHCscCbQGGzzCxwFnB3hC5sx_8OQYqf2g3IyFCV5MeOgjjXUuUvkIjDms2-ezV1T34CCXGRFzUmSMUw10C-XQxEHP46FOxBIPyCcltNZFY2HdYJehJqfiGUhx4ofHLI7yaJMfiCOKKUbjmziJ_uNSbBRvNj44ngMvUtxMNUxF9654Oi1LS\/s728-e3650\/google.gif\" "\\"Azur\\"\/")
<\/div>\n![\"Grupo](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/1684344838_288_Grupo-de-amenazas-UNC3944-que-abusa-de-la-consola-serie.png\" "\\"Grupo")
<\/div>\n