Microsoft ha detallado una nueva campa\u00f1a en la que los atacantes intentaron sin \u00e9xito moverse lateralmente a un entorno de nube a trav\u00e9s de una instancia de SQL Server.<\/p>\n
“Los atacantes inicialmente aprovecharon una vulnerabilidad de inyecci\u00f3n SQL en una aplicaci\u00f3n dentro del entorno del objetivo”, afirman los investigadores de seguridad Sunders Bruskin, Hagai Ran Kestenberg y Fady Nasereldeen. dicho<\/a> en un informe del martes.<\/p>\n “Esto permiti\u00f3 al atacante obtener acceso y permisos elevados en una instancia de Microsoft SQL Server implementada en Azure Virtual Machine (VM)”.<\/p>\n En la siguiente etapa, los actores de amenazas aprovecharon los nuevos permisos para intentar moverse lateralmente a recursos adicionales de la nube abusando de la identidad de la nube del servidor, que puede poseer permisos elevados para probablemente llevar a cabo diversas acciones maliciosas en la nube a la que tiene acceso la identidad.<\/p>\n Microsoft dijo que no encontr\u00f3 ninguna evidencia que sugiera que los atacantes se movieron lateralmente con \u00e9xito a los recursos de la nube utilizando esta t\u00e9cnica.<\/p>\n “Los servicios en la nube como Azure utilizan identidades administradas para asignar identidades a los distintos recursos de la nube”, dijeron los investigadores. “Esas identidades se utilizan para la autenticaci\u00f3n con otros recursos y servicios de la nube”.<\/p>\n El punto de partida de la cadena de ataque es una inyecci\u00f3n SQL contra el servidor de la base de datos que permite al adversario ejecutar consultas para recopilar informaci\u00f3n sobre el host, las bases de datos y la configuraci\u00f3n de la red.<\/p>\n En las intrusiones observadas, se sospecha que la aplicaci\u00f3n objetivo de la vulnerabilidad de inyecci\u00f3n SQL ten\u00eda permisos elevados, lo que permiti\u00f3 a los atacantes habilitar la opci\u00f3n xp_cmdshell para iniciar comandos del sistema operativo y pasar a la siguiente fase.<\/p>\n Esto incluy\u00f3 realizar reconocimientos, descargar ejecutables y scripts de PowerShell y configurar la persistencia mediante una tarea programada para iniciar un script de puerta trasera.<\/p>\n La exfiltraci\u00f3n de datos se logra aprovechando una herramienta de acceso p\u00fablico llamada webhook.[.]sitio en un esfuerzo por pasar desapercibido, ya que el tr\u00e1fico saliente al servicio se considera leg\u00edtimo y es poco probable que se marque.<\/p>\n “Los atacantes intentaron utilizar la identidad en la nube de la instancia de SQL Server accediendo al [instance metadata service] y obtener la clave de acceso a la identidad en la nube”, dijeron los investigadores. “La solicitud al punto final de la identidad IMDS devuelve las credenciales de seguridad (token de identidad) para la identidad en la nube”.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/10\/Microsoft-advierte-sobre-ataques-ciberneticos-que-intentan-violar-la-nube.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n