Fallos de 2014 aún dan paso a un contratista chino

Siete dominios incautados, siete gobiernos firman

El 8 de octubre el FBI anunció la incautación de siete dominios web ligados a herramientas de hacking que, según documentos judiciales de Estados Unidos, operaba Integrity Technology Group, una empresa con sede en China que, según las agencias, tiene vínculos con el Gobierno chino. A la vez, agencias de siete países publicaron un único aviso, numerado AA26-281A.

Los autores son el FBI, CISA y la NSA en Estados Unidos, el NCSC del Reino Unido, el ACSC de Australia, el Cyber Centre de Canadá, la Policía Nacional y la Oficina Nacional de Ciberseguridad de Japón, el NCSC de Nueva Zelanda y el CNI de España. Dicen que los actores apoyados por Integrity Tech combinan escaneo automatizado, grandes botnets y explotación manual para robar datos, y que la actividad coincide con lo que se rastrea públicamente como Flax Typhoon, Ethereal Panda y Red Juliett. El NCSC añade que el Gobierno británico sancionó a Integrity Tech el año pasado.

Los documentos judiciales alegan que Integrity Tech creó una botnet basada en una variante de Mirai y el escáner de vulnerabilidades Microscan, operó una herramienta llamada FishHub y tiene contratos con el Gobierno chino. Añaden que un servidor de bases de datos guardaba registros de más de 1,2 millones de dispositivos infectados a 5 de junio de 2024, más de 385.000 de ellos en Estados Unidos.

El fallo más antiguo de la lista es de 2014

Ocho CVE aparecen en el aviso como explotadas con éxito, y cuatro de ellas llevan un número de 2014, 2015 o 2016.

El aviso dice que estas CVE se recuperaron de los scripts de pruebas de penetración del escáner y se explotaron con éxito. Nada de la lista necesita un exploit nuevo. Necesita software que nadie parcheó, accesible desde internet, y Microscan, en uso desde 2017 como mínimo, lleva más de 1.300 scripts de ese tipo.

Cómo entran y se quedan los actores

El aviso describe una cadena corta que empieza con un escaneo. Herramientas como nmap y masscan miran los puertos 21, 22, 53, 80, 443 y 1080, y los actores explotan después lo que encuentran o recogen contraseñas con cargas de cross-site scripting que muestran un falso cuadro de inicio de sesión.

Para el correo usan una herramienta de código abierto llamada EBurst para rociar y adivinar contraseñas contra interfaces de acceso de Microsoft Exchange, entre ellas Outlook Web Access, Exchange Web Services y Autodiscover. Para persistir instalan clientes VPN SoftEther, a menudo con nombres como conhost.exe o dllhost.exe, que la seguridad de los equipos señala menos porque el programa es legítimo. Después unos scripts extraen correos y credenciales.

Qué revisar esta semana

Empiece por la exposición, porque cada paso anterior parte de algo accesible desde internet. Haga una lista de lo que responde en los puertos 21, 22, 53, 80, 443 y 1080 y cierre lo que nadie usa, que es la primera acción recomendada del aviso.

Después compare su software con la tabla. Si ejecuta ProFTPD, BIND, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer, Strapi o un Bash sin parchear, compruebe la versión y parchéelo o retírelo. El aviso también indica sustituir los productos al final de su vida útil.

Por último, exija autenticación multifactor en los accesos de webmail y VPN, que el aviso destaca, y revise los registros de las aplicaciones web en busca de intentos de recorrido de rutas, inyección de comandos y enumeración. Para las organizaciones del Reino Unido y la UE, la señal es que el NCSC y el CNI de España lo cofirmaron y que los documentos judiciales citan un aeropuerto polaco entre las redes escaneadas, así que no es solo una historia estadounidense.

Leer a continuación: Alemania fija 2030 y 2035 como plazos cuánticos  |  El tercer día cero de NetScaler en 90 días