La agencia de seguridad nacional de Estados Unidos, también conocida como la (NSA), recientemente ha publicado un reporte en el que expone y advierte de las 25 vulnerabilidades más utilizadas por los piratas informáticos respaldados por el estado Chino para espiar, comprometer o robar datos sensibles de los sistemas. En el reporte la NSA comenta que dichas vulnerabilidades han sido utilizadas en ataques dirigidos contra sus organismos de seguridad, como el Sistema de Seguridad Nacional (NSS), La Base Industrial de Defensa de Estados Unidos (DIB) y las redes de información del Departamento de Defensa (DoD).
También destacaron que los ataques mencionados en el reporte, se han dirigido de igual forma hacia otras organizaciones públicas y privadas de diferentes ámbitos, con el fin de obtener acceso a sus redes, implementar malware y propagarse lateralmente a través de los sistemas, mientras roban datos confidenciales.
En el reporte de la NSA, se expusieron las vulnerabilidades en forma de bloques cada uno explica una fase de ataque en las que son utilizadas. Los cuales mencionamos a continuación:
Vulnerabilidades en accesos remotos seguros
Para obtener acceso a las redes, los actores de amenaza chinos utilizan siete vulnerabilidades diferentes, algunas de ellas pueden proporcionar credenciales que pueden ser utilizadas para propagarse aún más en la red que logren comprometer.
- CVE-2019-11510 - Una vulnerabilidad en Pulse Secure VPN que permite a un atacante no autenticado obtener acceso a las credenciales de VPN.
- CVE-2020-5902 - Una vulnerabilidad en el balanceador de F5 BIG-IP® 8 proxy / load, la cual permite la ejecución de código remoto.
- CVE-2020-19781 - Una vulnerabilidad que afecta al controlador de entrega de aplicaciones (ADC) y al directorio transversal de puerta de enlace de Citrix y puede conducir a un ejecución de código remoto sin credenciales.
- CVE-2020-8193, 8195, 8196 - Vulnerabilidad que afecta a Citrix ADC, Citrix Gateway, Citrix SDWAN WAN-OP, la cual permite el acceso no autenticado hacia ciertos endpoints URL y la divulgación de información a usuarios con pocos privilegios que pueden ser utilizadas para comprometer el sistema.
- CVE-2020-0708 - Vulnerabilidad en el servicio de escritorio remoto de Windows BlueKeep, su explotación exitosa permite a usuarios no autenticados realizar ejecución remota de código.
Vulnerabilidad en administrador de dispositivos móviles (MDM)
Al comprometer servidores de administración de dispositivos móviles, los actores maliciosos pueden insertar aplicaciones móviles maliciosas o cambiar las configuraciones de los dispositivos para que todo el tráfico pase por un servidor proxy o host controlado por los atacantes.
- CVE-2020-15505 - Vulnerabilidad de ejecución de código remoto en el administrador de dispositivos móviles MobileIron 13.
Vulnerabilidades para robar credenciales y realizar movimiento lateral
- CVE-2020-1472 - Vulnerabilidad crítica con el máximo de severidad posible de elevación de privilegios en Windows conocido como ZeroLogon, la cual permite a un actor malicioso obtener acceso rápido a las credenciales del administrador de dominio (AD) en el controlador de dominio.
- CVE-2019.1040 - Vulnerabilidad en el protocolo NTLM de Windows, su explotación exitosa permite a los atacantes reducir la seguridad incorporada en los sistemas operativos Windows.
Vulnerabilidades en servidores públicos o expuestos a internet
Los atacantes suelen utilizar estas vulnerabilidades para saltarse los controles de autenticación en los servidores de servicios web, correo electrónico, o DNS, para ejecutar comandos de forma remota en la red interna. También los servidores web comprometidos suelen ser utilizados para ataques watering-hole para atacar a los futuros visitantes de los sitios web alojados.
- CVE-2020-1350 - Vulnerabilidad en servidores Windows DNS SigRed, la cual permite a los atacantes propagarse lateralmente a través de la red.
- CVE-2018-6789 - Vulnerabilidad en servidores de correo Exim, la cual permite la ejecución de código remoto no autenticado.
- CVE-2018-4939 - Vulnerabilidad en Adobe ColdFusion 14 que permite la iniciación de ejecución de código de forma arbitraria.
Vulnerabilidades en servidores internos
Las siguientes vulnerabilidades son usadas para propagarse lateralmente a través de la red y obtener acceso a servidores internos, con el fin de robar datos valiosos.
- CVE-2020-0688 - Vulnerabilidad en Microsoft Exchange que permite a usuarios autenticados realizar la ejecución de código remoto.
- CVE-2015-4852 - Vulnerabilidad en el componente de seguridad WLS de Oracle WebLogic 15 Server, su explotación exitosa permite a un atacante remoto ejecutar comandos de forma arbitraria por medio de un objeto serializado Java16 especialmente diseñado.
- CVE-2020-2555 - Vulnerabilidad fácilmente explotable en el producto Oracle Coherence de Oracle Fusion® Middleware.
- CVE-2019-3396 - Vulnerabilidad de inyección de template del lado del servidor en el Widget Connector en servidores Atlassian Confluence, la cual permite a un atacante remoto realizar ejecución de código de forma arbitraria, así como también path traversal.
- CVE-2019-11580 - Vulnerabilidad que permite a atacantes ejecutar código remoto, al enviar peticiones a instancias Atlassian® Crowd o Crowd Data Center para instalar plugins arbitrarios. Destacando que esta vulnerabilidad fue utilizada en los ataques realizados por los actores detrás del ransomware GandCrab en el pasado.
- CVE-2020-10189 - Vulnerabilidad en Zoho ManageEngine 18 Desktop Central, la cual permite la ejecución de código remoto. Destacando que esta falla fue utilizada en ataques para desplegar backdoors.
- CVE-2020-18935 - Vulnerabilidad en la interfaz de usuario Telerik 19 para ASP.NET AJAX, la cual puede permitir la ejecución de código remoto. Fue utilizada por un grupo llamado “Blue Mockingbird” para instalar mineros de criptomonedas Monero en servidores vulnerables pero también puede usarse para propagarse lateralmente.
Vulnerabilidades para escalado de privilegios en estaciones de trabajo
- CVE-2020-0601 - Vulnerabilidad de suplantación en Windows CryptoAPU, permite a los atacante suplantar los certificados firmados en código para hacer ejecutables maliciosos que aparenten ser firmados por una compañía de confianza.
- CVE-2019-0803 - Vulnerabilidad de elevación de privilegios en sistemas Windows cuando el componente Win32k falla en manejar apropiadamente los objetos en la memoria.
Vulnerabilidades en dispositivos de redes
El último bloqueo menciona las vulnerabilidades que permiten a los atacantes monitorear y modificar el tráfico de datos que pasa por los dispositivos.
- CVE-2017-6327 - Vulnerabilidad de ejecución de código remoto en Symantec 22 Messaging Gateway.
- CVE-2020-3118 - Vulnerabilidad en el protocolo de descubrimiento de Cisco conocido como “CDPwn” para Cisco IOS 23 XR Software, su explotación exitosa permite la ejecución de código remoto.
- CVE-2020-8515 - Vulnerabilidad de ejecución de código remoto en los dispositivos DrayTek Vigor 24 bajo el contexto de un usuario con privilegios Root, sin necesidad de autenticación por medio de metacaracteres Shell.
Siempre vamos a recordar a todos los usuarios, administradores de los sistemas, como a los profesionales en ciberseguridad priorizar sus esfuerzos en mitigar y actualizar sus sistemas, así como mantenerlos actualizados para reducir el riesgo de amenaza.
Fuente:
NSA: Top 25 vulnerabilities actively abused by Chinese hackers
COMENTARIOS