La vulnerabilidad de «día cero» de BeyondTrust Remote Support continúa la tendencia de explotación de fallos en entornos periféricos

Un grupo de ata­can­tes vin­cu­la­dos a China, iden­ti­fi­ca­do como Ar­mory Castle, apro­ve­chó una vul­ne­ra­bi­li­dad crí­ti­ca de día cero en los equi­pos Be­yond­Trust Re­mo­te Sup­port. El fallo, que afec­ta a un com­po­nen­te de men­sa­je­ría in­ter­na de­bi­do a una va­li­da­ción in­co­rrec­ta del ori­gen de los men­sa­jes, per­mi­tió a los agre­so­res ob­te­ner ca­pa­ci­da­des si­mi­la­res a las de las he­rra­mien­tas de ac­ce­so re­mo­to uti­li­za­das por los equi­pos de TI.

Tras ex­plo­tar esta bre­cha, los ata­can­tes des­ple­ga­ron una puer­ta tra­se­ra y se en­fo­ca­ron en bus­car cre­den­cia­les, con­tra­se­ñas y cla­ves de API en la base de datos de ad­mi­nis­tra­ción de se­cre­tos. Pos­te­rior­men­te, ele­va­ron sus pri­vi­le­gios, eli­mi­na­ron re­gis­tros del sis­te­ma y del ser­vi­dor web para obs­ta­cu­li­zar el aná­li­sis fo­ren­se, y uti­li­za­ron he­rra­mien­tas adi­cio­na­les para rea­li­zar re­co­no­ci­mien­tos in­ter­nos, ex­fil­trar do­cu­men­tos y es­ta­ble­cer tú­ne­les de red.

Este in­ci­den­te ocu­rre en pa­ra­le­lo con fa­llas de se­gu­ri­dad di­vul­ga­das re­cien­te­men­te en dis­po­si­ti­vos pe­ri­me­tra­les de otros pro­vee­do­res como Ivan­ti, Cisco y Palo Alto Net­works, los cua­les tam­bién han pre­sen­ta­do vul­ne­ra­bi­li­da­des gra­ves ex­plo­ta­das ac­ti­va­men­te. Ante esta si­tua­ción, Be­yond­Trust lanzó un par­che de se­gu­ri­dad y las or­ga­ni­za­cio­nes afec­ta­das han re­ci­bi­do re­co­men­da­cio­nes para apli­car ac­tua­li­za­cio­nes, ais­lar los equi­pos vul­ne­ra­bles y uti­li­zar con­tro­les com­pen­sa­to­rios.