Unos piratas informáticos chinos aprovechan vulnerabilidades de WordPress y Zyxel para robar datos del Gobierno

Un grupo de pi­ra­tas in­for­má­ti­cos que habla chino ha apro­ve­cha­do fa­llas de se­gu­ri­dad en Word­Press y en los con­mu­ta­do­res ad­mi­nis­tra­dos in­te­li­gen­tes Zyxel para sus­traer in­for­ma­ción con­fi­den­cial de bases de datos in­ter­nas y nu­me­ro­sos dis­po­si­ti­vos. Esta cam­pa­ña ma­li­cio­sa, iden­ti­fi­ca­da por la em­pre­sa de in­te­li­gen­cia de ame­na­zas Grey­Noi­se, tam­bién ha di­ri­gi­do ata­ques me­dian­te vul­ne­ra­bi­li­da­des co­no­ci­das hacia di­ver­sas tec­no­lo­gías adi­cio­na­les como PAN-OS Glo­bal Pro­tect, Flo­wi­seAI, Nu­clio, Prox­mox y Ubi­quity. Las ope­ra­cio­nes ofen­si­vas y los ras­treos pro­vie­nen de una misma di­rec­ción IP y se re­la­cio­nan con un actor vin­cu­la­do al grupo Red Heron.

Den­tro de las ac­cio­nes ob­ser­va­das, los ata­can­tes uti­li­za­ron vul­ne­ra­bi­li­da­des en el nú­cleo de Word­Press para vul­ne­rar a múl­ti­ples or­ga­ni­za­cio­nes a nivel in­ter­na­cio­nal, in­clu­yen­do en­ti­da­des gu­ber­na­men­ta­les y de pe­que­ñas em­pre­sas. En uno de los in­ci­den­tes des­ta­ca­dos en una or­ga­ni­za­ción gu­ber­na­men­tal oc­ci­den­tal, el agre­sor eje­cu­tó ta­reas exhaus­ti­vas de re­co­no­ci­mien­to, in­ten­tó eva­dir de­fen­sas y re­co­pi­lar cre­den­cia­les que le per­mi­tie­ron ac­ce­der a un ser­vi­dor SQL in­terno para ex­fil­trar miles de re­gis­tros con datos de agen­cias gu­ber­na­men­ta­les y po­li­cia­les. Asi­mis­mo, este mismo grupo afec­tó a una en­ti­dad es­ta­tal rusa si­tua­da en una zona ocu­pa­da de Ucra­nia.

Pos­te­rior­men­te, la cam­pa­ña in­cor­po­ró la ex­plo­ta­ción de una vul­ne­ra­bi­li­dad de alta gra­ve­dad en los dis­po­si­ti­vos Zyxel para sus­traer con­fi­gu­ra­cio­nes, datos de redes y cre­den­cia­les ci­fra­das de nivel de root en nu­me­ro­sos equi­pos dis­tri­bui­dos por di­ver­sos paí­ses. Adi­cio­nal­men­te, el actor in­ten­tó en­ca­de­nar fa­llas en los sis­te­mas Ubi­qui­ti para con­se­guir la eje­cu­ción re­mo­ta de có­di­go con pri­vi­le­gios má­xi­mos, mien­tras que la CISA ha ad­ver­ti­do sobre la ex­plo­ta­ción ac­ti­va de estas de­bi­li­da­des. Para fi­na­li­zar, Grey­Noi­se com­par­tió in­di­ca­do­res de com­pro­mi­so re­la­cio­na­dos con los in­ci­den­tes de­tec­ta­dos.