Múltiples actores de amenazas, incluidos los afiliados al ransomware LockBit, están explotando activamente un fallo de seguridad crítico recientemente revelado en los dispositivos de control de entrega de aplicaciones (ADC) y Gateway de Citrix NetScaler para obtener acceso inicial a los entornos objetivo.
El aviso conjunto procede de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA), la Oficina Federal de Investigaciones (FBI), el Centro Multiestatal de Análisis e Intercambio de Información (MS-ISAC) y el Centro Australiano de Ciberseguridad de la Dirección Australiana de Señales (ASD's ACSC).
"Citrix Bleed, conocido por ser aprovechado por los afiliados de LockBit 3.0, permite a los actores de amenazas eludir los requisitos de contraseña y autenticación multifactor (MFA), lo que lleva al secuestro exitoso de sesiones de usuarios legítimos en Citrix NetScaler web application delivery control (ADC) y Gateway appliances", dijeron las agencias.
"A través de la toma de control de sesiones de usuario legítimas, los actores maliciosos adquieren permisos elevados para cosechar credenciales, moverse lateralmente y acceder a datos y recursos".
Rastreada como CVE-2023-4966 (puntuación CVSS: 9,4), la vulnerabilidad fue abordada por Citrix el mes pasado, pero no antes de que se convirtiera en un arma de zero-day al menos desde agosto de 2023. Su nombre en clave es Citrix Bleed.
Poco después de la divulgación pública, Mandiant, propiedad de Google, reveló que está rastreando cuatro grupos diferentes no categorizados (UNC) implicados en la explotación de CVE-2023-4966 para atacar varios sectores verticales de la industria en América, EMEA y APJ.
La última amenaza que se ha sumado al carro de la explotación es LockBit, que se ha aprovechado del fallo para ejecutar scripts de PowerShell y utilizar herramientas de gestión y monitorización remotas (RMM) como AnyDesk y Splashtop para actividades posteriores.
El desarrollo subraya una vez más el hecho de que las vulnerabilidades en los servicios expuestos siguen siendo un vector de entrada principal para los ataques de ransomware.
La revelación se produce cuando Check Point publicó un estudio comparativo de los ataques de ransomware dirigidos a Windows y Linux, señalando que la mayoría de las familias que irrumpen en Linux utilizan en gran medida la biblioteca OpenSSL junto con los algoritmos ChaCha20/RSA y AES/RSA.
"El ransomware para Linux está claramente dirigido a organizaciones medianas y grandes, en comparación con las amenazas para Windows, que son de naturaleza mucho más general", afirma el investigador de seguridad Marc Salinas Fernández.
El examen de varias familias de ransomware dirigidas a Linux "revela una interesante tendencia hacia la simplificación, en la que sus funcionalidades principales se reducen a menudo a procesos básicos de cifrado, dejando así el resto del trabajo a scripts y herramientas legítimas del sistema".
Check Point afirma que este enfoque minimalista no sólo hace que estas familias de ransomware dependan en gran medida de configuraciones y scripts externos, sino que también facilita que pasen desapercibidas.
Fuente: thehackernews