Hackers Breach Enterprise Firewalls and VPNs, Exposing Over 70,000 Credentials

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han re­ve­la­do una cam­pa­ña a gran es­ca­la di­ri­gi­da con­tra dis­po­si­ti­vos pe­ri­me­tra­les de red ex­pues­tos, es­pe­cí­fi­ca­men­te cor­ta­fue­gos de For­ti­net For­ti­Ga­te y Palo Alto Net­works Glo­bal­Pro­tect. La ope­ra­ción ha per­mi­ti­do a los ata­can­tes ac­ce­der a múl­ti­ples or­ga­ni­za­cio­nes en todo el mundo, lo­gran­do en cier­tos casos un ac­ce­so re­mo­to per­sis­ten­te y la fil­tra­ción de in­for­ma­ción. Los in­di­cios de la in­ves­ti­ga­ción apun­tan a que las víc­ti­mas abar­can di­ver­sos sec­to­res de forma in­dis­cri­mi­na­da a nivel glo­bal.

El res­pon­sa­ble de­trás de esta ac­ti­vi­dad ma­si­va ha sido iden­ti­fi­ca­do como un actor de ame­na­zas lla­ma­do k0t, quien uti­li­za va­rios alias y man­tie­ne po­si­bles víncu­los con gru­pos de *ran­som­wa­re* como Qilin y The Gentle­men, ope­ran­do pro­ba­ble­men­te como un in­ter­me­dia­rio de ac­ce­so ini­cial o afi­lia­do. Para lle­var a cabo los ata­ques, el actor rea­li­za la­bo­res de re­co­no­ci­mien­to me­dian­te mo­to­res de bús­que­da de me­ta­da­tos pú­bli­cos, ex­plo­ta vul­ne­ra­bi­li­da­des co­no­ci­das o efec­túa ata­ques de fuer­za bruta, y pos­te­rior­men­te con­so­li­da su po­si­ción em­plean­do he­rra­mien­tas le­gí­ti­mas de ac­ce­so re­mo­to y mar­cos de emu­la­ción de ad­ver­sa­rios.

La cam­pa­ña mues­tra una mayor con­cen­tra­ción de víc­ti­mas en la re­gión de Asia-Pa­cí­fi­co, se­gui­da por Amé­ri­ca La­ti­na, Eu­ro­pa, y Orien­te Medio junto con el Norte de Áfri­ca. Los ata­can­tes tam­bién rea­li­zan ta­reas pos­te­rio­res a la in­tru­sión para robar cre­den­cia­les adi­cio­na­les, exa­mi­nar la red y ex­traer la in­for­ma­ción ob­te­ni­da hacia ser­vi­cios de al­ma­ce­na­mien­to en la nube, ha­bién­do­se iden­ti­fi­ca­do más de 70,000 cre­den­cia­les ex­pues­tas vin­cu­la­das a dis­po­si­ti­vos de red y vol­ca­dos de LDAP.