Chinese hackers used VMware ESX zero-day; PHP2Shell and Fragnesia chained to root firewalls

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad se­ña­lan que ac­to­res de ame­na­zas vin­cu­la­dos a China han uti­li­za­do una vul­ne­ra­bi­li­dad de día cero en VM­wa­re ESX con el fin de ocul­tar sus ras­tros. El grupo APT co­no­ci­do como Warp Panda apro­ve­chó este fallo de re­gis­tro in­su­fi­cien­te, el cual per­mi­te dis­mi­nuir no­ta­ble­men­te la vi­si­bi­li­dad de las pis­tas de au­di­to­ría. Ade­más, este ad­ver­sa­rio suele com­pro­me­ter dis­po­si­ti­vos pe­ri­me­tra­les para ac­ce­der a en­tor­nos vCen­ter, ins­ta­lar pro­gra­mas ma­li­cio­sos per­so­na­li­za­dos y lo­grar un ac­ce­so per­sis­ten­te y en­cu­bier­to, en­fo­cán­do­se fre­cuen­te­men­te en en­ti­da­des del sec­tor legal de Es­ta­dos Uni­dos.

Por otro lado, se ha iden­ti­fi­ca­do una ca­de­na de ata­ques que com­bi­na fa­llos de Linux y PHP. La vul­ne­ra­bi­li­dad de es­ca­la­da de pri­vi­le­gios lo­ca­les en el nú­cleo de Linux co­no­ci­da como "Frag­ne­sia" se ha vin­cu­la­do con de­bi­li­da­des de PHP2Shell para im­plan­tar con­chas web y eje­cu­tar co­man­dos como usua­rio root. In­ves­ti­ga­do­res de­tec­ta­ron una ope­ra­ción donde ac­to­res de ori­gen chino em­plea­ron esta com­bi­na­ción en una cam­pa­ña asis­ti­da por in­te­li­gen­cia ar­ti­fi­cial que logró com­pro­me­ter ser­vi­do­res y fi­re­walls en di­ver­sos paí­ses, in­clu­yen­do Es­ta­dos Uni­dos, Japón, Tai­wán y Corea del Sur, ade­más de ex­traer cre­den­cia­les y apun­tar a en­tor­nos gu­ber­na­men­ta­les es­ta­dou­ni­den­ses.

Asi­mis­mo, Cisco con­fir­mó que una nueva vul­ne­ra­bi­li­dad pre­sen­te en sus fi­re­walls clá­si­cos y de pró­xi­ma ge­ne­ra­ción está sien­do ex­plo­ta­da de ma­ne­ra ac­ti­va. Este fallo, ori­gi­na­do por erro­res ló­gi­cos al con­fi­gu­rar au­ten­ti­ca­ción se­cun­da­ria en un grupo de tú­ne­les, per­mi­te que ata­can­tes re­mo­tos no au­ten­ti­ca­dos en­víen pe­ti­cio­nes ma­ni­pu­la­das para re­ini­ciar los equi­pos afec­ta­dos y pro­vo­car una con­di­ción de de­ne­ga­ción de ser­vi­cio. La com­pa­ñía re­co­mien­da ac­tua­li­zar a una ver­sión de soft­wa­re co­rre­gi­da, ya que no exis­ten so­lu­cio­nes al­ter­na­ti­vas dis­po­ni­bles.