Una entidad gubernamental no identificada asociada con los Emiratos \u00c1rabes Unidos (EAU) fue atacada por un probable actor de amenazas iran\u00ed para violar el Microsoft Exchange Server de la v\u00edctima con una puerta trasera “simple pero efectiva” denominada intercambio de energ\u00eda<\/strong>.<\/p>\n Seg\u00fan un nuevo informe de Fortinet FortiGuard Labs, la intrusi\u00f3n se bas\u00f3 en el phishing de correo electr\u00f3nico como v\u00eda de acceso inicial, lo que condujo a la ejecuci\u00f3n de un ejecutable .NET contenido con un archivo adjunto ZIP.<\/p>\n El binario, que se hace pasar por un documento PDF, funciona como un cuentagotas para ejecutar la carga \u00fatil final, que luego inicia la puerta trasera.<\/p>\n PowerExchange, escrito en PowerShell, emplea archivos de texto adjuntos a correos electr\u00f3nicos para la comunicaci\u00f3n de comando y control (C2). Permite que el actor de amenazas ejecute cargas \u00fatiles arbitrarias y cargue y descargue archivos desde y hacia el sistema.<\/p>\n El implante personalizado logra esto haciendo uso de los servicios web de Exchange (SAT<\/a>) API para conectarse al servidor Exchange de la v\u00edctima y utiliza un buz\u00f3n en el servidor para enviar y recibir comandos codificados de su operador. <\/p>\n “Se puede acceder al Exchange Server desde Internet, lo que ahorra la comunicaci\u00f3n C2 a servidores externos desde los dispositivos de las organizaciones”, investigadores de Fortinet dicho<\/a>. “Tambi\u00e9n act\u00faa como un proxy para que el atacante se enmascare”.<\/p>\n Dicho esto, actualmente no se sabe c\u00f3mo el actor de amenazas logr\u00f3 obtener las credenciales de dominio para conectarse al servidor Exchange de destino.<\/p>\n La investigaci\u00f3n de Fortinet tambi\u00e9n descubri\u00f3 servidores de Exchange que ten\u00edan una puerta trasera con varios shells web, uno de los cuales se llama IntercambioSanguijuela<\/a> (tambi\u00e9n conocido como System.Web.ServiceAuthentication.dll), para lograr acceso remoto persistente y robar credenciales de usuario.<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n![\"Puerta](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/1685061644_532_Nueva-puerta-trasera-PowerExchange-utilizada-en-ciberataque-irani-contra-el.jpg\" "\\"Puerta")
<\/div>\n