Unos hackers vinculados a China aprovecharon una vulnerabilidad de día cero de BeyondTrust para hacerse con el control de servidores de asistencia remota

Un grupo de ci­ber­es­pio­na­je con víncu­los en China, co­no­ci­do como Ar­mory Castle, apro­ve­chó una vul­ne­ra­bi­li­dad de día cero en el soft­wa­re Be­yond­Trust Re­mo­te Sup­port a fi­na­les de agos­to de la fecha se­ña­la­da. Este fallo de se­gu­ri­dad, que in­vo­lu­cra la va­li­da­ción in­co­rrec­ta de men­sa­jes in­ter­nos y per­mi­te rea­li­zar ope­ra­cio­nes con ar­chi­vos, afec­tó a un dis­po­si­ti­vo au­to­hos­pe­da­do es­pe­cí­fi­co antes de que los par­ches co­rres­pon­dien­tes fue­ran des­ple­ga­dos para los clien­tes en las fe­chas in­di­ca­das.

Los ata­can­tes em­plean la vul­ne­ra­bi­li­dad de forma se­lec­ti­va antes de que sea pú­bli­ca y pos­te­rior­men­te am­plían sus ac­cio­nes de in­tru­sión. Tras lo­grar el ac­ce­so, des­pla­zan sus ope­ra­cio­nes uti­li­zan­do he­rra­mien­tas como un web shell de­no­mi­na­do SAWFLY y nodos co­mer­cia­les de redes pri­va­das vir­tua­les, ade­más de rou­ters do­més­ti­cos y de ofi­ci­nas pe­que­ñas para pasar inad­ver­ti­dos entre el trá­fi­co le­gí­ti­mo.

Las ac­ti­vi­da­des pos­te­rio­res a la ex­plo­ta­ción in­clu­yen la ob­ten­ción de pri­vi­le­gios de root, la ex­trac­ción de cre­den­cia­les de bases de datos de se­cre­tos, y el uso del ac­ce­so ad­mi­nis­tra­ti­vo para rea­li­zar re­co­no­ci­mien­tos y mo­vi­mien­tos la­te­ra­les hacia otros sis­te­mas. Asi­mis­mo, los ata­can­tes em­plean un proxy SOCKS5 per­so­na­li­za­do lla­ma­do BARECLAW para ca­na­li­zar trá­fi­co y bo­rrar sis­te­má­ti­ca­men­te los re­gis­tros del sis­te­ma con el fin de di­fi­cul­tar su de­tec­ción.