Agentes de amenazas han penetrado en la red de una organización estadounidense del sector de infraestructuras críticas tras explotar una vulnerabilidad RCE de Zero Day identificada actualmente como CVE-2023-3519, un problema de gravedad crítica en NetScaler ADC y Gateway que Citrix parcheó esta semana.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) afirma que el ataque se produjo en junio y que los hackers utilizaron su acceso para robar datos de Active Directory.
Los hackers exfiltraron datos de AD
En un aviso de esta semana, CISA advierte de que los hackers aprovecharon el fallo de ejecución remota de código (RCE) sin autenticación para plantar una webshell en el dispositivo NetScaler Application Delivery Controller (ADC) de no producción del objetivo.
La puerta trasera permitió al atacante descubrir objetos de Active Directory (AD), que incluyen usuarios, grupos, aplicaciones y dispositivos en la red, así como robar datos de AD.
Debido a que el dispositivo NetScaler ADC objetivo estaba en un entorno segregado en la red, los hackers no fueron capaces de moverse lateralmente a un controlador de dominio, dice CISA.
CISA ha publicado un aviso con tácticas, técnicas y procedimientos (TTP), junto con métodos de detección para ayudar a las organizaciones, en particular las del segmento de infraestructuras críticas, a determinar si sus sistemas se han visto comprometidos.
Durante la fase inicial del ataque, los hackers cargaron en el dispositivo vulnerable un archivo TGZ con un webshell genérico, un script de descubrimiento y un binario setuid.
Hicieron un escaneo SMB en la subred y utilizaron el webshell para comprobar y exfiltrar el inventario de Active Directory, con un interés particular en:
- Archivos de configuración de NetScaler que contienen una contraseña cifrada cuya clave está en el dispositivo ADC.
- Las claves de descifrado de NetScaler, que pueden desbloquear la contraseña de AD en el archivo de configuración.
- La lista de usuarios, sistemas, grupos, subredes, unidades organizativas, contactos, particiones y confianzas en el Directorio Activo.
El atacante cifró los datos de descubrimiento utilizando la biblioteca OpenSSL y los preparó para su exfiltración a una ubicación accesible desde la web en forma comprimida como un tarball disfrazado de imagen PNG.
Parece que los hackers intentaron cubrir sus huellas borrando el archivo de autorización, que impediría a los administradores iniciar sesión de forma remota. Para recuperar el acceso, es necesario reiniciar en modo monousuario, lo que puede haber borrado artefactos.
Los administradores de NetScaler deberían instalar sin demora las últimas actualizaciones publicadas por Citrix para solucionar el problema.
Miles de servidores vulnerables expuestos
Una evaluación inicial de The Shadowserver Foundation, una organización sin fines de lucro para hacer Internet más seguro, vio que CVE-2023-3519 probablemente afectaba a más de 11.000 servidores NetScaler ADC y Gateway expuestos en línea.
Ese número ha aumentado a 15.000, según ha informado hoy la organización a BleepingComputer, después de refinar su consulta para etiquetar como vulnerables todos los dispositivos NetScaler que devolvían un encabezado de "última modificación" con una fecha anterior al 1 de julio.
El nuevo recuento también se debe a la mejora de la cobertura de detección de los equipos NetScaler AAA (servidor virtual de autenticación). Aunque ha aumentado, el número probablemente representa una estimación conservadora, dice la organización.
Fuente: bleepingcomputer