Los actores de amenazas est\u00e1n aprovechando una falla cr\u00edtica recientemente revelada en los dispositivos Citrix NetScaler ADC y Gateway para llevar a cabo una campa\u00f1a de recolecci\u00f3n de credenciales.<\/p>\n
IBM X-Force, que descubri\u00f3 la actividad el mes pasado, dicho<\/a> Los adversarios explotaron “CVE-2023-3519 para atacar NetScaler Gateways sin parches e insertar un script malicioso en el contenido HTML de la p\u00e1gina web de autenticaci\u00f3n para capturar las credenciales del usuario”.<\/p>\n CVE-2023-3519 (puntuaci\u00f3n CVSS: 9,8), abordada por Citrix en julio de 2023, es una vulnerabilidad cr\u00edtica de inyecci\u00f3n de c\u00f3digo que podr\u00eda conducir a la ejecuci\u00f3n remota de c\u00f3digo no autenticado. En los \u00faltimos meses, ha sido ampliamente explotado para infiltrarse en dispositivos vulnerables y obtener acceso persistente para ataques posteriores.<\/p>\n En la \u00faltima cadena de ataque descubierta por IBM X-Force, los operadores enviaron una solicitud web especialmente dise\u00f1ada para desencadenar la explotaci\u00f3n de CVE-2023-3519 e implementar un shell web basado en PHP.<\/p>\n El acceso proporcionado por el shell web se aprovecha posteriormente para agregar c\u00f3digo personalizado a la p\u00e1gina de inicio de sesi\u00f3n de NetScaler Gateway que hace referencia a un archivo JavaScript remoto alojado en una infraestructura controlada por el atacante.<\/p>\n El c\u00f3digo JavaScript est\u00e1 dise\u00f1ado para recopilar los datos del formulario que contienen la informaci\u00f3n de nombre de usuario y contrase\u00f1a proporcionada por el usuario y transmitirlos a un servidor remoto a trav\u00e9s de un m\u00e9todo HTTP POST tras la autenticaci\u00f3n.<\/p>\n La compa\u00f1\u00eda dijo que identific\u00f3 “al menos 600 direcciones IP de v\u00edctimas \u00fanicas que alojan p\u00e1ginas de inicio de sesi\u00f3n de NetScaler Gateway modificadas”, la mayor\u00eda de ellas ubicadas en EE. UU. y Europa. Se dice que los ataques son de naturaleza oportunista debido a que las adiciones aparecen m\u00e1s de una vez.<\/p>\n No est\u00e1 exactamente claro cu\u00e1ndo comenz\u00f3 la campa\u00f1a, pero la primera modificaci\u00f3n de la p\u00e1gina de inicio de sesi\u00f3n fue el 11 de agosto de 2023, lo que indica que ha estado en marcha durante casi dos meses. No se ha atribuido a ning\u00fan actor o grupo de amenazas conocido.<\/p>\n La divulgaci\u00f3n se produce cuando Fortinet FortiGuard Labs descubri\u00f3 una versi\u00f3n actualizada de la campa\u00f1a DDoS basada en IZ1H9 Mirai que hace uso de una lista revisada de exploits dirigidos a varias fallas en c\u00e1maras IP y enrutadores de D-Link, Geutebr\u00fcck, Korenix, Netis, Sunhillo SureLine<\/a>TP-Link, TOTOLINK, Yealink y Zyxel.<\/p>\n “Esto resalta la capacidad de la campa\u00f1a para infectar dispositivos vulnerables y expandir dram\u00e1ticamente su botnet mediante la r\u00e1pida utilizaci\u00f3n del c\u00f3digo de explotaci\u00f3n publicado recientemente, que abarca numerosos CVE”, dijo la investigadora de seguridad Cara Lin. dicho<\/a>.<\/p>\n La explotaci\u00f3n exitosa de las vulnerabilidades allana el camino para la implementaci\u00f3n de un descargador de scripts de shell que se utiliza para recuperar la carga \u00fatil IZ1H9, convirtiendo las m\u00e1quinas Linux comprometidas en bots controlados remotamente para ataques DDoS y de fuerza bruta a gran escala.<\/p>\n “Para contrarrestar esta amenaza, se recomienda encarecidamente que las organizaciones apliquen r\u00e1pidamente parches cuando est\u00e9n disponibles y cambien siempre las credenciales de inicio de sesi\u00f3n predeterminadas para los dispositivos”, dijo Lin.<\/p>\n El desarrollo tambi\u00e9n coincide con una nueva falla de inyecci\u00f3n remota de comandos sin parches que afecta al extensor de alcance D-Link DAP-X1860 (CVE-2023-45208) y que podr\u00eda ser utilizado por actores de amenazas para ejecutar comandos de shell durante el proceso de configuraci\u00f3n mediante la creaci\u00f3n de una red Wi-Fi. con un SSID elaborado que contiene el s\u00edmbolo de ap\u00f3strofe, seg\u00fan Pentesting del equipo rojo<\/a>.<\/p>\n La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), en un aviso publicado el mes pasado, subray\u00f3 el riesgo de ataques DDoS volum\u00e9tricos contra sitios web y servicios web relacionados, e inst\u00f3 a las organizaciones a implementar mitigaciones adecuadas para reducir la amenaza.<\/p>\n “Estos ataques se dirigen a sitios web espec\u00edficos con el objetivo de agotar los recursos del sistema objetivo, hacer que el objetivo sea inalcanzable o inaccesible y negar a los usuarios el acceso al servicio”, se\u00f1ala. dicho<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/10\/Dispositivos-Citrix-bajo-ataque-falla-de-NetScaler-explotada-para-capturar.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n