{"id":795546,"date":"2023-06-08T18:22:45","date_gmt":"2023-06-08T18:22:45","guid":{"rendered":"https:\/\/teknomers.com\/es\/clop-ransomware-gang-probablemente-consciente-de-la-vulnerabilidad-de-transferencia-de-moveit-desde-2021\/"},"modified":"2023-06-08T18:22:49","modified_gmt":"2023-06-08T18:22:49","slug":"clop-ransomware-gang-probablemente-consciente-de-la-vulnerabilidad-de-transferencia-de-moveit-desde-2021","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/clop-ransomware-gang-probablemente-consciente-de-la-vulnerabilidad-de-transferencia-de-moveit-desde-2021\/","title":{"rendered":"Clop Ransomware Gang probablemente consciente de la vulnerabilidad de transferencia de MOVEit desde 2021"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>08 de junio de 2023<\/span>\ue804<\/i>Ravie Lakshman\u00e1n<\/span><\/span>Ransomware \/ D\u00eda Cero<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) y la Oficina Federal de Investigaciones (FBI) han publicado un aviso conjunto sobre la explotaci\u00f3n activa de una falla cr\u00edtica recientemente revelada en la aplicaci\u00f3n MOVEit Transfer de Progress Software para eliminar ransomware.<\/p>\n

“Cl0p Ransomware Gang, tambi\u00e9n conocido como TA505, supuestamente comenz\u00f3 a explotar una vulnerabilidad de inyecci\u00f3n SQL previamente desconocida en la soluci\u00f3n de transferencia de archivos administrada (MFT) de Progress Software conocida como MOVEit Transfer”, dijeron las agencias. dicho<\/a>.<\/p>\n

“Las aplicaciones web de MOVEit Transfer orientadas a Internet se infectaron con un shell web llamado LEMURLOOT, que luego se us\u00f3 para robar datos de las bases de datos subyacentes de MOVEit Transfer”.<\/p>\n

Desde entonces, la prol\u00edfica banda de ciberdelincuentes dio un ultim\u00e1tum<\/a> a varias empresas afectadas, inst\u00e1ndolas a ponerse en contacto antes del 14 de junio de 2023, o arriesgarse a que se publiquen todos sus datos robados.<\/p>\n

\"La<\/a><\/center><\/div>\n

Microsoft est\u00e1 rastreando la actividad bajo el nombre de Lace Tempest (tambi\u00e9n conocido como Storm-0950), que tambi\u00e9n ha estado implicado en la explotaci\u00f3n de una vulnerabilidad de seguridad cr\u00edtica en los servidores de PaperCut.<\/p>\n

Activo desde al menos febrero de 2019, el adversario se ha relacionado con una amplia gama de actividades en el ecosistema del delito cibern\u00e9tico, incluida la operaci\u00f3n de un ransomware como servicio (RaaS) y la actuaci\u00f3n como afiliado de otros esquemas de RaaS.<\/p>\n

Tambi\u00e9n se ha observado que act\u00faa como intermediario de acceso inicial (IAB) para beneficiarse del acceso a redes empresariales comprometidas y tambi\u00e9n como cliente de otros IAB, lo que subraya la naturaleza interconectada del panorama de amenazas.<\/p>\n\n\n\n\n
\"MOVEit<\/td>\n<\/tr>\n
Fuente: Kroll<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

el abuso de CVE-2023-34362<\/a>una falla de inyecci\u00f3n de SQL en MOVEit Transfer, es una se\u00f1al de que el adversario busca continuamente exploits de d\u00eda cero en aplicaciones orientadas a Internet y los usa para su beneficio con el fin de extorsionar a las v\u00edctimas.<\/p>\n

Vale la pena se\u00f1alar que Cl0p llev\u00f3 a cabo ataques de explotaci\u00f3n masiva similares en otras aplicaciones de transferencia de archivos administrados, como Accellion FTA y GoAnywhere MFT durante el a\u00f1o pasado.<\/p>\n

\"MOVEit<\/div>\n

Empresa de gesti\u00f3n de superficie de ataque Censys dicho<\/a> ha observado una ca\u00edda en la cantidad de hosts que ejecutan instancias expuestas de MOVEit Transfer de m\u00e1s de 3000 hosts a poco m\u00e1s de 2600.<\/p>\n

“Varios de estos anfitriones est\u00e1n asociados con organizaciones de alto perfil, incluidas varias empresas de Fortune 500 y agencias gubernamentales estatales y federales”, se\u00f1al\u00f3 Censys, destacando las finanzas, la tecnolog\u00eda y la atenci\u00f3n m\u00e9dica como los sectores con mayor exposici\u00f3n.<\/p>\n

PR\u00d3XIMO SEMINARIO WEB<\/span><\/p>\n

\ud83d\udd10 Dominio de la seguridad de API: comprensi\u00f3n de su verdadera superficie de ataque<\/p>\n

Descubra las vulnerabilidades sin explotar en su ecosistema de API y tome medidas proactivas hacia una seguridad inquebrantable. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n

\u00danase a la sesi\u00f3n<\/a><\/div>\n

kroll<\/b>en un an\u00e1lisis compartido con The Hacker News, dijo que identific\u00f3 actividad que indica que los actores de la amenaza Clop probablemente estaban experimentando con formas de explotar esta falla en particular en abril de 2022 y desde julio de 2021.<\/p>\n

El hallazgo es particularmente significativo ya que sirve para ilustrar la experiencia t\u00e9cnica del atacante y la planificaci\u00f3n que se ha llevado a cabo para organizar las intrusiones mucho antes de que comenzara la reciente ola de explotaciones.<\/p>\n

\"MOVEit<\/div>\n

“Los comandos durante el per\u00edodo de julio de 2021 parec\u00edan ejecutarse durante un per\u00edodo de tiempo m\u00e1s prolongado, lo que sugiere que las pruebas pueden haber sido un proceso manual en ese momento antes de que el grupo creara una soluci\u00f3n automatizada que comenz\u00f3 a probar en abril de 2022”, dijo Kroll.<\/p>\n

Se dice que la explotaci\u00f3n de julio de 2021 se origin\u00f3 a partir de una direcci\u00f3n IP (45.129.137[.]232) que se atribuy\u00f3 previamente al actor de Cl0p en relaci\u00f3n con los intentos de explotar fallas en el producto SolarWinds Serv-U casi al mismo tiempo.<\/p>\n

“Esta es la tercera vez que el grupo de ransomware Cl0p usa un d\u00eda cero en aplicaciones web para extorsionar en tres a\u00f1os”, dijo el investigador de seguridad Kevin Beaumont. dicho<\/a>. \u201cEn los tres casos eran productos con seguridad en la marca\u201d.<\/p>\n

<\/p>\n

\u00bfEncontraste este art\u00edculo interesante? Siga con nosotros Gorjeo \uf099<\/i><\/a> y LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n