Las fallas de seguridad reveladas recientemente que afectan los firewalls de Juniper, los servidores Openfire y Apache RocketMQ han sido objeto de explotaci\u00f3n activa en la naturaleza, seg\u00fan m\u00faltiples informes.<\/p>\n
La Fundaci\u00f3n Shadowserver dicho<\/a> que est\u00e1 “viendo intentos de explotaci\u00f3n desde m\u00faltiples IP para Juniper J-Web CVE-2023-36844 (y amigos) dirigidos al punto final \/webauth_operation.php”, el mismo d\u00eda que estuvo disponible una prueba de concepto (PoC).<\/p>\n Los problemas, identificados como CVE-2023-36844, CVE-2023-36845, CVE-2023-36846 y CVE-2023-36847, residen en el componente J-Web de Junos OS en Juniper SRX y EX Series. Un atacante no autenticado basado en la red podr\u00eda encadenarlos para ejecutar c\u00f3digo arbitrario en instalaciones susceptibles.<\/p>\n Los parches para la falla se lanzaron el 17 de agosto de 2023, una semana despu\u00e9s de la cual watchTowr Labs public\u00f3 una prueba de concepto (PoC) combinando CVE-2023-36846 y CVE-2023-36845 para ejecutar un archivo PHP que contiene c\u00f3digo shell malicioso.<\/p>\n Actualmente, hay m\u00e1s de 8.200 dispositivos Juniper<\/a> que tienen sus interfaces J-Web expuestas a Internet, la mayor\u00eda de ellos de Corea del Sur, Estados Unidos, Hong Kong, Indonesia, Turqu\u00eda e India.<\/p>\n Otra vulnerabilidad que los actores de amenazas han utilizado como arma es CVE-2023-32315, un error de recorrido de ruta de alta gravedad en la consola administrativa de Openfire que podr\u00eda aprovecharse para la ejecuci\u00f3n remota de c\u00f3digo.<\/p>\n “Esta falla permite que un usuario no autorizado explote el entorno de configuraci\u00f3n de Openfire no autenticado dentro de una configuraci\u00f3n de Openfire establecida”, dijo la firma de seguridad en la nube Aqua. dicho<\/a>.<\/p>\n “Como resultado, un actor de amenazas obtiene acceso a los archivos de configuraci\u00f3n de administrador que normalmente est\u00e1n restringidos dentro de la Consola de administraci\u00f3n de Openfire. A continuaci\u00f3n, el actor de amenazas puede elegir entre agregar un usuario administrador a la consola o cargar un complemento que eventualmente permitir\u00e1 el acceso completo. control sobre el servidor.”<\/p>\n Actores de amenazas asociados con el Botnet de malware Kinsing<\/a> Se ha observado que utilizan la falla para crear un nuevo usuario administrador y cargar un archivo JAR, que contiene un archivo llamado cmd.jsp que act\u00faa como un shell web para colocar y ejecutar el malware y un minero de criptomonedas.<\/p>\n Aqua dijo que encontr\u00f3 6.419 servidores conectados a Internet con el servicio Openfire en ejecuci\u00f3n, y la mayor\u00eda de las instancias se encuentran en China, Estados Unidos y Brasil.<\/p>\n En una se\u00f1al de que los actores de amenazas siempre est\u00e1n buscando nuevas fallas para explotar, se ha observado que una versi\u00f3n actualizada del malware botnet DreamBus aprovecha una vulnerabilidad de ejecuci\u00f3n remota de c\u00f3digo de gravedad cr\u00edtica en los servidores RocketMQ para comprometer dispositivos.<\/p>\n CVE-2023-33246<\/a>como se cataloga el problema, es una falla de ejecuci\u00f3n remota de c\u00f3digo que afecta a las versiones 5.1.0 e inferiores de RocketMQ y que permite a un atacante no autenticado ejecutar comandos con el mismo nivel de acceso que el proceso de usuario del sistema.<\/p>\n En los ataques detectados por Juniper Threat Labs desde el 19 de junio de 2023, la explotaci\u00f3n exitosa de la falla allana el camino para la implementaci\u00f3n de un script bash llamado “reketed”, que act\u00faa como descargador de la botnet DreamBus desde un servicio oculto TOR.<\/p>\n DreamBus es un Malware basado en Linux<\/a> es una variante de SystemdMiner y est\u00e1 dise\u00f1ada para extraer criptomonedas en sistemas infectados. Activo desde principios de 2019, se sabe que se propaga explotando espec\u00edficamente vulnerabilidades de ejecuci\u00f3n remota de c\u00f3digo.<\/p>\n “Como parte de la rutina de instalaci\u00f3n, el malware finaliza procesos y elimina archivos asociados con versiones obsoletas de s\u00ed mismo”, afirma el investigador de seguridad Paul Kimayong. dicho<\/a>agregarlo configura la persistencia en el host mediante un trabajo cron.<\/p>\n “Sin embargo, la presencia de un robot modular como el malware DreamBus equipado con la capacidad de ejecutar scripts bash proporciona a estos ciberdelincuentes el potencial de diversificar su repertorio de ataques, incluida la instalaci\u00f3n de otras formas de malware”.<\/p>\n Los acontecimientos se producen en medio de la empresa de ciberseguridad Rapid7. advertencia<\/a> de un aumento en la actividad de amenazas que se remonta a marzo de 2023 y que apunta a dispositivos VPN SSL de Cisco ASA para implementar el ransomware Akira.<\/p>\n Si bien algunos casos han implicado el uso de relleno de credenciales, la actividad en otros “parece ser el resultado de ataques dirigidos de fuerza bruta a dispositivos ASA donde la autenticaci\u00f3n multifactor (MFA) no estaba habilitada o no se aplicaba para todos los usuarios”. dijo la empresa.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/New-NodeStealer-Targeting-Facebook-Business-Accounts-and-Crypto-Wallets.png\")
<\/a><\/center><\/section>\nKinsing explota la vulnerabilidad de Openfire<\/h3>\n
![\"linux\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/1693395886_432_Alerta-Juniper-Firewalls-Openfire-y-Apache-RocketMQ-bajo-ataque-de.jpg\" "\\"linux\\"\/")
<\/div>\nVulnerabilidad de Apache RocketMQ atacada por la botnet DreamBus<\/h3>\n
![\"linux\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/1693395887_662_Alerta-Juniper-Firewalls-Openfire-y-Apache-RocketMQ-bajo-ataque-de.jpg\" "\\"linux\\"\/")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/New-Version-of-Rilide-Data-Theft-Malware-Adapts-to-Chrome.gif\")
<\/a><\/center><\/section>\nExplotaci\u00f3n de VPN SSL de Cisco ASA para implementar Akira Ransomware<\/h3>\n
![\"Cortafuegos](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/08\/1693395888_598_Alerta-Juniper-Firewalls-Openfire-y-Apache-RocketMQ-bajo-ataque-de.jpg\" "\\"Cortafuegos")
<\/div>\n