Un actor de amenazas que se cree está vinculado al grupo de hackers FIN8 explota el fallo de ejecución remota de código CVE-2023-3519 para comprometer sistemas Citrix NetScaler no parcheados en ataques a nivel de dominio.
Sophos ha estado vigilando esta campaña desde mediados de agosto, informando de que el autor de la amenaza realiza inyecciones de carga útil, utiliza BlueVPS para almacenar malware, despliega scripts PowerShell ofuscados y deja caer webshells PHP en las máquinas de las víctimas.
Las similitudes con otro ataque que los analistas de Sophos observaron a principios de verano han llevado a los analistas a deducir que las dos actividades están relacionadas, y que el actor de la amenaza está especializado en ataques de ransomware.
Ataques a Citrix
CVE-2023-3519 es un fallo de inyección de código de gravedad crítica (puntuación CVSS: 9,8) en Citrix NetScaler ADC y NetScaler Gateway, descubierto como un zero-day activamente explotado a mediados de julio de 2023.
El proveedor publicó actualizaciones de seguridad para el problema el 18 de julio, pero había pruebas de que los ciberdelincuentes estaban supuestamente vendiendo un exploit para el fallo desde al menos el 6 de julio de 2023.
El 2 de agosto, Shadowserver informó del descubrimiento de 640 webshells en un número igual de servidores Citrix comprometidos, y dos semanas más tarde, Fox-IT elevó esa cifra a 1952.
A mediados de agosto, más de 31000 instancias de Citrix NetScaler seguían siendo vulnerables a CVE-2023-3519, más de un mes después de que se pusiera a disposición la actualización de seguridad, dando a los actores de amenazas muchas oportunidades para realizar ataques.
Sophos X-Ops informa ahora de que un actor de amenazas al que sigue la pista como "STAC4663" está explotando CVE-2023-3519, que los investigadores creen que forma parte de la misma campaña sobre la que Fox-IT informó a principios de este mes.
La carga útil utilizada en los recientes ataques, que se inyecta en "wuauclt.exe" o "wmiprvse.exe", aún está siendo analizada. Aun así, Sophos cree que forma parte de una cadena de ataques de ransomware basándose en el perfil del atacante.
Sophos dijo a BleepingComputer que la campaña se evalúa con confianza moderada para ser vinculada al grupo de hacking FIN8, que fue visto recientemente desplegando el BlackCat/ALPHV ransomware.
Esta suposición y la correlación con la campaña anterior del actor del ransomware se basan en el descubrimiento de dominios, plink, alojamiento BlueVPS, secuencias de comandos PowerShell inusuales y la copia segura PuTTY [pscp].
Por último, los atacantes utilizan una dirección IP C2 (45.66.248.189) para la puesta en escena del malware y una segunda dirección IP C2 (85.239.53.49) que responde al mismo software C2 que en la campaña anterior.
Sophos ha publicado una lista de IoCs (indicadores de compromiso) para esta campaña en GitHub para ayudar a los defensores a detectar y detener la amenaza.
Si no ha aplicado las actualizaciones de seguridad en los dispositivos Citrix ADC y Gateway, siga las acciones recomendadas en el boletín de seguridad del proveedor.
Fuente: bleepingcomputer