Una nueva operaci\u00f3n financieramente motivada denominada RATA DE LABORATORIO<\/strong> se ha observado armando una falla cr\u00edtica ahora parcheada en GitLab como parte de una campa\u00f1a de cryptojacking y proxyjacking.<\/p>\n “El atacante utiliz\u00f3 herramientas basadas en firmas no detectadas, malware multiplataforma sofisticado y sigiloso, herramientas de comando y control (C2) que sortearon los firewalls y rootkits basados \u200b\u200ben kernel para ocultar su presencia”, Sysdig dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n “Adem\u00e1s, el atacante abus\u00f3 de un servicio leg\u00edtimo, PruebaCloudflare<\/a>para ofuscar su red C2″.<\/p>\n El robo de proxy permite que el atacante alquile el host comprometido a una red proxy, lo que permite monetizar el ancho de banda no utilizado. Cryptojacking, por otro lado, se refiere al abuso de los recursos del sistema para extraer criptomonedas.<\/p>\n Un aspecto notable de la campa\u00f1a es el uso de binarios compilados escritos en Go y .NET para pasar desapercibidos, y LABRAT tambi\u00e9n brinda acceso de puerta trasera a los sistemas infectados. En \u00faltima instancia, esto podr\u00eda allanar el camino para ataques de seguimiento, robo de datos y ransomware.<\/p>\n Las cadenas de ataque comienzan con la explotaci\u00f3n de CVE-2021-22205<\/a> (Puntuaci\u00f3n CVSS: 10.0), una vulnerabilidad de ejecuci\u00f3n remota de c\u00f3digo que ha sido explotada de forma salvaje por actores de origen indonesio en el pasado para implementar criptomineros.<\/p>\n A un ingreso exitoso le sigue la recuperaci\u00f3n de un script de cuentagotas de un servidor C2 que configura la persistencia, realiza un movimiento lateral utilizando las credenciales SSH que se encuentran en el sistema y descarga archivos binarios adicionales de un repositorio privado de GitLab.<\/p>\n \u201cDurante la operaci\u00f3n LABRAT, se utiliz\u00f3 TryCloudflare para redirigir las conexiones a un servidor web protegido con contrase\u00f1a que alojaba un script de shell malicioso\u201d, dijo Miguel Hern\u00e1ndez. “El uso de la infraestructura leg\u00edtima de TryCloudFlare puede dificultar que los defensores identifiquen los subdominios como maliciosos, especialmente si tambi\u00e9n se usa en operaciones normales”.<\/p>\n TryCloudflare es un herramienta gratuita<\/a> que se puede usar para crear un t\u00fanel de Cloudflare sin agregar un sitio al DNS de Cloudflare. Inicia un proceso que genera un subdominio aleatorio en trycloudflare.com, lo que permite que los recursos internos est\u00e9n expuestos al p\u00fablico en Internet.<\/p>\n El desarrollo se suma al abuso de cloudflared para establecer canales de comunicaci\u00f3n encubiertos desde hosts comprometidos y el acceso principal a las redes de las v\u00edctimas.<\/p>\n En una segunda variante del ataque, se dice que el adversario us\u00f3 un servidor Solr en lugar de TryCloudflare para descargar un exploit para PwnKit (CVE-2021-4034) desde el mismo repositorio de GitLab para elevar los privilegios, junto con otro archivo que no es m\u00e1s accesible.<\/p>\n Algunas de las cargas \u00fatiles recuperadas por el script cuentagotas incluyen una utilidad de c\u00f3digo abierto conocida como Global Socket (gsocket<\/a>) para acceso remoto y binarios para realizar cryptojacking y proxyjacking a trav\u00e9s de servicios conocidos como IPRoyal y ProxyLite. El proceso de miner\u00eda se oculta utilizando un rootkit basado en kernel llamado ocultar-cryptominers-linux-rootkit<\/a>.<\/p>\n Tambi\u00e9n se entrega un ejecutable basado en Go dise\u00f1ado para garantizar la persistencia y eliminar los procesos de miner\u00eda de la competencia o versiones anteriores de s\u00ed mismo para aprovechar al m\u00e1ximo los recursos de la m\u00e1quina y maximizar sus ganancias.<\/p>\n \u201cComo el objetivo de la operaci\u00f3n LABRAT es financiero, el tiempo es dinero\u201d, dijo Hern\u00e1ndez. “Cuanto m\u00e1s tiempo pase sin ser detectado un compromiso, m\u00e1s dinero gana el atacante y m\u00e1s le costar\u00e1 a la v\u00edctima”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/New-NodeStealer-Targeting-Facebook-Business-Accounts-and-Crypto-Wallets.png\")
<\/a><\/center><\/section>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/1692309715_325_La-nueva-campana-de-LABRAT-aprovecha-la-falla-de-GitLab.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/China039s-APT31-Suspected-in-Attacks-on-Air-Gapped-Systems-in-Eastern.gif\")
<\/a><\/center><\/section>\n