Las agencias de ciberseguridad han alertado sobre la aparici\u00f3n de nuevas variantes del malware TrueBot. Esta amenaza mejorada ahora est\u00e1 dirigida a empresas en los EE. UU. y Canad\u00e1 con la intenci\u00f3n de extraer datos confidenciales de los sistemas infiltrados.<\/p>\n
Estos ataques sofisticados aprovechan una vulnerabilidad cr\u00edtica (CVE-2022-31199) en el servidor Netwrix Auditor y sus agentes asociados, ampliamente utilizado.<\/p>\n
Esta vulnerabilidad permite a los atacantes no autorizados ejecutar c\u00f3digo malicioso con los privilegios del usuario del SISTEMA, otorg\u00e1ndoles acceso sin restricciones a los sistemas comprometidos.<\/p>\n
El malware TrueBot, vinculado con los colectivos ciberdelincuentes Silence y FIN11, se implementa para desviar datos y diseminar ransomware, poniendo en peligro la seguridad de numerosas redes infiltradas.<\/p>\n Los ciberdelincuentes obtienen su punto de apoyo inicial al explotar la vulnerabilidad citada y luego proceden a instalar TrueBot. Una vez que han violado las redes, instalan el troyano de acceso remoto (RAT) FlawedGrace para escalar sus privilegios, establecer la persistencia en los sistemas comprometidos y realizar operaciones adicionales.<\/p>\n “Durante la fase de ejecuci\u00f3n de FlawedGrace, la RAT almacena cargas \u00fatiles cifradas dentro del registro. La herramienta puede crear tareas programadas e inyectar cargas \u00fatiles en msiexec[.]exe y svchost[.]exe, que son procesos de comando que permiten a FlawedGrace establecer una conexi\u00f3n de comando y control (C2) a 92.118.36[.]199, por ejemplo, as\u00ed como cargar bibliotecas de v\u00ednculos din\u00e1micos (DLL) para lograr la escalada de privilegios”, el consultivo<\/a> dice.<\/p>\n Los ciberdelincuentes inician las balizas Cobalt Strike varias horas despu\u00e9s de la primera intrusi\u00f3n. Estas balizas facilitan las tareas posteriores a la explotaci\u00f3n, incluido el robo de datos y la instalaci\u00f3n de ransomware o diferentes cargas \u00fatiles de malware.<\/p>\n Si bien las versiones anteriores del malware TrueBot generalmente se propagaban a trav\u00e9s de archivos adjuntos de correo electr\u00f3nico maliciosos, las versiones actualizadas aprovechan la vulnerabilidad CVE-2022-31199 para obtener acceso inicial.<\/p>\n Este cambio estrat\u00e9gico permite a los actores de amenazas cibern\u00e9ticas llevar a cabo ataques a una escala m\u00e1s amplia dentro de entornos infiltrados. Es importante destacar que el software Netwrix Auditor es empleado por m\u00e1s de 13.000 organizaciones<\/a> en todo el mundo, incluidas firmas notables como Airbus, Allianz, el NHS del Reino Unido y Virgin.<\/p>\n El aviso no proporciona informaci\u00f3n espec\u00edfica sobre las v\u00edctimas o la cantidad de organizaciones afectadas por los ataques de TrueBot.<\/p>\n El informe tambi\u00e9n destaca la participaci\u00f3n del malware Raspberry Robin en estos ataques de TrueBot, as\u00ed como otros malware posteriores al compromiso como IcedID y Bumblebee. Al utilizar Raspberry Robin como plataforma de distribuci\u00f3n, los atacantes pueden llegar a m\u00e1s v\u00edctimas potenciales y amplificar el impacto de sus actividades maliciosas.<\/p>\n \ud83d\udd10 Gesti\u00f3n de acceso privilegiado: aprenda a superar desaf\u00edos clave<\/p>\n <\/a><\/p>\n Descubra diferentes enfoques para conquistar los desaf\u00edos de la administraci\u00f3n de cuentas privilegiadas (PAM) y suba de nivel su estrategia de seguridad de acceso privilegiado.<\/p>\n