Hackers chinos utilizan las vulnerabilidades de Cisco
El grupo APT41, patrocinado por el estado chino, ha estado al frente de una serie de ataques que utilizaron exploits recientes para atacar fallas de seguridad en dispositivos y dispositivos Citrix, Cisco y Zoho de entidades de una multitud de sectores industriales en todo el mundo.
No se sabe si la campaña que comenzó en enero de 2020 fue diseñada para aprovechar las empresas que tienen que concentrarse en establecer todo lo que necesitan sus trabajadores remotos mientras están en el bloqueo o cuarentena de COVID-19, pero, como descubrieron los investigadores de FireEye, los ataques son definitivamente de naturaleza específica.
La campaña APT china más amplia en años
Como señala FireEye, la reciente campaña de APT41 es una de las más extensas que los actores chinos de ciberespionaje realizaron en los últimos años.
"Entre el 20 de enero y el 11 de marzo, FireEye observó el intento APT41 de explotar vulnerabilidades en Citrix NetScaler / ADC, enrutadores Cisco y Zoho ManageEngine Desktop Central en más de 75 clientes de FireEye". dice el informe.
APT41 es un grupo de piratería respaldado por China muy prolífico activo desde al menos 2012 y conocido por espionaje, cibercrimen y operaciones de vigilancia contra una gran variedad de industrias, así como contra individuos.
Este grupo generalmente dependerá de correos electrónicos de phishing para infiltrarse en la red de un objetivo y luego usará cargas útiles de malware de segunda etapa para comprometer todo el entorno con la ayuda de docenas de herramientas maliciosas mientras se mantiene la persistencia.
Dispositivos Citrix bajo ataque
En su última campaña, los piratas informáticos APT41 fueron observados mientras atacaban objetivos desde la banca y las finanzas, el gobierno, la alta tecnología, el petróleo y el gas hasta las telecomunicaciones, la atención médica, los medios y la fabricación.
Durante esta serie de ataques aparentemente dirigidos, centraron su atención en entidades de una multitud de países, incluidos, entre otros, los Estados Unidos, el Reino Unido, Francia, Italia, Japón, Arabia Saudita y Suiza.
"No está claro si APT41 escaneó Internet e intentó la explotación en masa o seleccionó un subconjunto de organizaciones específicas para atacar, pero las víctimas parecen ser más específicas por naturaleza", agregaron los investigadores de FireEye.
Mientras explotaba la vulnerabilidad CVE-2019-19781 que afectaba a los servidores Citrix Application Delivery Controller (NetScaler ADC) y Citrix Gateway (NetScaler Gateway), APT41 solo intentó explotar los dispositivos Citrix, lo que sugiere que el grupo estaba usando una lista de servidores previamente identificados recopilados durante el pasado Escaneos de internet.
Durante esta serie de ataques, los actores APT41 fueron vistos fluctuando entre períodos de alta actividad de explotación e intermedios.
Como descubrió FireEye, los intervalos de pausa coinciden con las vacaciones chinas o con las medidas de cuarentena tomadas por el gobierno chino en respuesta a la pandemia de COVID-19.
"Si bien es posible que esta reducción en la actividad esté relacionada con las medidas de cuarentena de COVID-19 en China, APT41 puede haber permanecido activo de otras maneras, que no pudimos observar con la telemetría FireEye", dijeron los investigadores.
Explotación de Zoho y Cisco
El 21 de febrero, APT41 comprometió el enrutador Cisco RV320 de una organización de telecomunicaciones, pero los investigadores de FireEye no pudieron determinar qué hazaña se usó durante este ataque después de analizar el incidente.
"Se desconoce qué exploit específico se usó, pero hay un módulo Metasploit que combina dos CVE ( CVE-2019-1653 y CVE-2019-1652 ) para permitir la ejecución remota de código en los enrutadores de pequeñas empresas Cisco RV320 y RV325 y utiliza wget para descargue la carga útil especificada ", dijo FireEye .
APT41 luego pasó a explotar la vulnerabilidad de ejecución remota de código sin autorización de día cero sin autorización de Zoho ManageEngine CVE-2020-10189 que permite a los actores de amenazas ejecutar código arbitrario como SYSTEM / root en sistemas sin parches.
A partir del 8 de marzo, un día después de que Zoho arregló permanentemente CVE-2020-10189, el grupo chino atacó a más de una docena de clientes de FireEye y logró comprometer los sistemas de al menos cinco de ellos.
Luego, los piratas informáticos implementaron una versión de prueba del cargador Cobalt Strike BEACON y colocaron otra puerta trasera utilizada para descargar un descargador VMProtected Meterpreter.
Esta no es la primera vez que APT41 utiliza exploits disponibles públicamente para apuntar a sistemas orientados a Internet, ya que FireEye los ha observado anteriormente mientras abusó de CVE-2019-11510 en Pulse Secure VPN y CVE-2019-3396 en Atlassian Confluence recientemente. como octubre de 2019.
"Es notable que solo hayamos visto estos intentos de explotación para aprovechar el malware disponible públicamente, como Cobalt Strike y Meterpreter", concluye el informe.
"Si bien estas puertas traseras tienen todas las funciones, en incidentes anteriores APT41 ha esperado para implementar malware más avanzado hasta que hayan entendido completamente dónde estaban y realizaron algún reconocimiento inicial.
"Esta nueva actividad de este grupo muestra cuán ingeniosos y qué tan rápido pueden aprovechar las vulnerabilidades recientemente reveladas para su ventaja".
¿Te es util este articulo?. ¿Tienes una opinion relacionada con este articulo?. ¿Te has entretenido con nosotros?.
Si la respuesta es afirmativa, dejanos un comentario :) y como no Gracias por vernos