El grupo patrocinado por el estado chino conocido como UNC3886<\/strong> se ha descubierto que aprovecha una falla de d\u00eda cero en los hosts VMware ESXi para sistemas Windows y Linux de puerta trasera.<\/p>\n La vulnerabilidad de omisi\u00f3n de autenticaci\u00f3n de VMware Tools, rastreada como CVE-2023-20867<\/a> (puntuaci\u00f3n CVSS: 3,9), “permiti\u00f3 la ejecuci\u00f3n de comandos privilegiados en m\u00e1quinas virtuales invitadas de Windows, Linux y PhotonOS (vCenter) sin autenticaci\u00f3n de credenciales de invitados de un host ESXi comprometido y sin inicio de sesi\u00f3n predeterminado en m\u00e1quinas virtuales invitadas”, Mandiant dicho<\/a>.<\/p>\n UNC3886 fue documentado inicialmente por la firma de inteligencia de amenazas propiedad de Google en septiembre de 2022 como un actor de espionaje cibern\u00e9tico que infectaba los servidores VMware ESXi y vCenter con puertas traseras denominadas VIRTUALPITA y VIRTUALPIE.<\/p>\n A principios de marzo, el grupo estuvo vinculado a la explotaci\u00f3n de una falla de seguridad de gravedad media ahora parcheada en el sistema operativo Fortinet FortiOS para implementar implantes en los dispositivos de red e interactuar con el malware antes mencionado.<\/p>\n El actor de amenazas ha sido descrito como un colectivo adversario “altamente experto” que se enfoca en organizaciones de defensa, tecnolog\u00eda y telecomunicaciones en los EE. UU., Jap\u00f3n y la regi\u00f3n de Asia-Pac\u00edfico.<\/p>\n “El grupo tiene acceso a una amplia investigaci\u00f3n y apoyo para comprender la tecnolog\u00eda subyacente de los dispositivos a los que se dirige”, dijeron los investigadores de Mandiant, destacando su patr\u00f3n de armar fallas en el firewall y el software de virtualizaci\u00f3n que no son compatibles con las soluciones EDR.<\/p>\n Como parte de sus esfuerzos para explotar los sistemas ESXi, tambi\u00e9n se ha observado que el actor de amenazas recopila credenciales de los servidores vCenter y abusa de CVE-2023-20867 para ejecutar comandos y transferir archivos hacia y desde m\u00e1quinas virtuales invitadas desde un host ESXi comprometido.<\/p>\n Un aspecto notable de la artesan\u00eda de UNC3886 es su uso de la interfaz de comunicaci\u00f3n de m\u00e1quina virtual (VMCI<\/a>) sockets para el movimiento lateral y la persistencia continua, lo que le permite establecer un canal encubierto entre el host ESXi y sus m\u00e1quinas virtuales invitadas.<\/p>\n \ud83d\udd10 Dominio de la seguridad de API: comprensi\u00f3n de su verdadera superficie de ataque<\/p>\n Descubra las vulnerabilidades sin explotar en su ecosistema de API y tome medidas proactivas hacia una seguridad inquebrantable. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n \u00danase a la sesi\u00f3n<\/a><\/div>\n “Este canal de comunicaci\u00f3n abierto entre el invitado y el host, donde cualquiera de los roles puede actuar como cliente o servidor, ha permitido un nuevo medio de persistencia para recuperar el acceso en un host ESXi con puerta trasera siempre que se implemente una puerta trasera y el atacante obtenga acceso inicial a cualquier m\u00e1quina invitada”, dijo la compa\u00f1\u00eda.<\/p>\n El desarrollo se produce como investigador del equipo de invocaci\u00f3n Sina Kheirkhah revelado<\/a> tres fallas diferentes en VMware Aria Operations for Networks (CVE-2023-20887, CVE-2023-20888 y CVE-2023-20889) que podr\u00edan resultar en la ejecuci\u00f3n remota de c\u00f3digo.<\/p>\n “UNC3886 contin\u00faa presentando desaf\u00edos para los investigadores al deshabilitar y manipular los servicios de registro, eliminando selectivamente los eventos de registro relacionados con su actividad”, agreg\u00f3. “La limpieza retroactiva de los actores de amenazas realizada a los pocos d\u00edas de las revelaciones p\u00fablicas anteriores sobre su actividad indica cu\u00e1n alertas est\u00e1n”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/Pandilla-china-PostalFurious-ataca-a-usuarios-de-EAU-con-esquema.png\")
<\/a><\/center><\/div>\n![\"Defecto](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgLy6abpo3eUt0OJnhzkMpCc0oNAiuwBFSaSNaztcGGXD875eciyZCjiLEtD00vAjje6mswHt7R1H1m9C2kuHr2cL2rrX3p_rZ_48VHcLXbvPajZdxDxbhyLdHcJuau7erRUOmSekRfVbonrV70YG6Hs-QNDnFK-ZApOggFnhQXSEH_dldui7EEZoTr\/s728-e3650\/chinese-hackers.jpg\" "\\"Defecto")
<\/div>\n