Un actor de amenazas motivado financieramente est\u00e1 rastreando activamente Internet en busca de desprotegidos. Instancias de Apache NiFi<\/a> para instalar de forma encubierta un minero de criptomonedas y facilitar el movimiento lateral.<\/p>\n Los hallazgos provienen del SANS Internet Storm Center (ISC), que detect\u00f3 un aumento en las solicitudes HTTP de “\/nifi” el 19 de mayo de 2023.<\/p>\n “La persistencia se logra a trav\u00e9s de procesadores cronometrados o entradas a cron”, dicho<\/a> Dr. Johannes Ullrich, decano de investigaci\u00f3n del SANS Technology Institute. “El script de ataque no se guarda en el sistema. Los scripts de ataque solo se guardan en la memoria”.<\/p>\n Una configuraci\u00f3n de honeypot permiti\u00f3 al ISC determinar que el punto de apoyo inicial est\u00e1 armado para lanzar un script de shell que elimina el archivo “\/var\/log\/syslog”, desactiva el firewall y finaliza las herramientas de criptominer\u00eda de la competencia, antes de descargar y ejecutar Kinsing. malware desde un servidor remoto.<\/p>\n Vale la pena se\u00f1alar que parentesco<\/a> tiene un audio grabado<\/a> de aprovechar vulnerabilidades divulgadas p\u00fablicamente en aplicaciones web de acceso p\u00fablico para llevar a cabo sus ataques.<\/p>\n En septiembre de 2022, Trend Micro detall\u00f3 una cadena de ataque id\u00e9ntica que utiliz\u00f3 fallas antiguas de Oracle WebLogic Server (CVE-2020-14882 y CVE-2020-14883) para entregar el malware de miner\u00eda de criptomonedas.<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n Guardar mi asiento!<\/a><\/div>\n Los ataques seleccionados montados por el mismo actor de amenazas contra servidores NiFi expuestos tambi\u00e9n implican la ejecuci\u00f3n de un segundo script de shell que est\u00e1 dise\u00f1ado para recopilar claves SSH del host infectado para conectarse a otros sistemas dentro de la organizaci\u00f3n de la v\u00edctima.<\/p>\n Un indicador notable de la campa\u00f1a en curso es que las actividades reales de ataque y escaneo se llevan a cabo a trav\u00e9s de la direcci\u00f3n IP 109.207.200.[.]43 contra puerto 8080 y puerto 8443\/TCP.<\/p>\n “Debido a su uso como plataforma de procesamiento de datos, los servidores NiFi a menudo tienen acceso a datos cr\u00edticos para el negocio”, dijo SANS ISC. “Los servidores NiFi son probablemente objetivos atractivos, ya que est\u00e1n configurados con CPU m\u00e1s grandes para admitir tareas de transformaci\u00f3n de datos. El ataque es trivial si el El servidor NiFi no est\u00e1 protegido<\/a>.”<\/p>\n <\/p>\n