BeyondTrust corrige una vulnerabilidad de día cero que se ha estado aprovechando en ataques desde agosto

Be­yond­Trust emi­tió una ad­ver­ten­cia para que sus clien­tes ins­ta­len una ac­tua­li­za­ción que co­rri­ge una vul­ne­ra­bi­li­dad crí­ti­ca de tipo zero-day en su pro­duc­to Re­mo­te Sup­port, la cual ha sido apro­ve­cha­da en ata­ques desde el mes de agos­to. Este fallo per­mi­te elu­dir la au­ten­ti­ca­ción y fa­ci­li­ta que ata­can­tes re­mo­tos sin pri­vi­le­gios reali­cen ope­ra­cio­nes con ar­chi­vos en los dis­po­si­ti­vos que no hayan sido ac­tua­li­za­dos. Aun­que los en­tor­nos en la nube ya re­ci­bie­ron la co­rrec­ción, los usua­rios con ins­ta­la­cio­nes au­to­hos­pe­da­das deben apli­car el par­che de forma ma­nual si no tie­nen ac­ti­va­das las ac­tua­li­za­cio­nes au­to­má­ti­cas. La com­pa­ñía tam­bién lanzó un par­che pre­ven­ti­vo para Pri­vi­le­ged Re­mo­te Ac­cess, ya que este com­par­te parte del có­di­go afec­ta­do.

De acuer­do con las in­ves­ti­ga­cio­nes de se­gu­ri­dad, el fallo fue apro­ve­cha­do en ata­ques reales por un grupo de es­pio­na­je in­for­má­ti­co vin­cu­la­do a China, al que dis­tin­tos equi­pos de ci­ber­se­gu­ri­dad ras­trean bajo de­no­mi­na­cio­nes como Ar­mory Castle y Warp Panda. Los ata­can­tes uti­li­za­ron esta vul­ne­ra­bi­li­dad para con­se­guir ac­ce­so ini­cial y ele­var pri­vi­le­gios a nivel de root me­dian­te la ha­bi­li­ta­ción de per­mi­sos es­pe­cia­les en los equi­pos afec­ta­dos. Pos­te­rior­men­te, ins­ta­la­ron he­rra­mien­tas ma­li­cio­sas como web shells y tú­ne­les, eli­mi­na­ron re­gis­tros para di­fi­cul­tar su ras­treo y uti­li­za­ron cre­den­cia­les de ad­mi­nis­tra­dor com­pro­me­ti­das para des­pla­zar­se la­te­ral­men­te por las redes de las víc­ti­mas.

Este grupo es co­no­ci­do por ex­plo­tar vul­ne­ra­bi­li­da­des zero-day en dis­po­si­ti­vos pe­ri­me­tra­les de red para in­fil­trar­se en redes em­pre­sa­ria­les y des­ple­gar soft­wa­re ma­li­cio­so per­so­na­li­za­do. La ad­ver­ten­cia sub­ra­ya que cual­quier dis­po­si­ti­vo ac­ce­si­ble a tra­vés de in­ter­net que con­ten­ga una ver­sión vul­ne­ra­ble debe con­si­de­rar­se po­ten­cial­men­te afec­ta­do hasta que se reali­ce una re­vi­sión exhaus­ti­va. El in­ci­den­te se suma a otros pro­ble­mas de se­gu­ri­dad re­cien­tes que han afec­ta­do las so­lu­cio­nes de la em­pre­sa y que han sido apro­ve­cha­dos por ci­ber­de­lin­cuen­tes para dis­tin­tos fines ma­li­cio­sos.