Hackers están explotando servidores Atlassian no parcheados para desplegar una variante Linux del ransomware Cerber (también conocido como C3RB3R).
Los ataques aprovechan CVE-2023-22518 (puntuación CVSS: 9,1), una vulnerabilidad de seguridad crítica que afecta al centro de datos y servidor de Atlassian Confluence y que permite a un atacante no autenticado restablecer Confluence y crear una cuenta de administrador.
Armado con este acceso, un hacker podría tomar el control de los sistemas afectados, lo que llevaría a una pérdida total de confidencialidad, integridad y disponibilidad.
Según la empresa de seguridad en la nube Cado, se han observado grupos de ciberdelincuentes con motivaciones económicas que abusan de la cuenta de administrador recién creada para instalar el complemento de shell web Effluence y permitir la ejecución de comandos arbitrarios en el host.
"El atacante utiliza esta shell web para descargar y ejecutar la carga útil principal de Cerber", explica Nate Bill, ingeniero de inteligencia de amenazas de Cado, en un informe compartido con The Hacker News.
"En una instalación por defecto, la aplicación Confluence se ejecuta como el usuario 'confluence', un usuario con pocos privilegios. Como tal, los datos que el ransomware es capaz de cifrar se limitan a los archivos propiedad del usuario confluence."
Vale la pena señalar que la explotación de CVE-2023-22518 para desplegar el ransomware Cerber fue destacada previamente por Rapid7 en noviembre de 2023.
Escrito en C++, el payload principal actúa como cargador de malware adicional basado en C++, recuperándolo de un servidor de comando y control (C2) y borrando después su propia presencia del host infectado.
Incluye "agttydck.bat", que se ejecuta para descargar el encriptador ("agttydcb.bat") que posteriormente lanza la carga útil principal.
Se sospecha que agttydck funciona como un verificador de permisos para el malware, evaluando su capacidad para escribir en un archivo /tmp/ck.log. El propósito exacto de esta comprobación no está claro.
El encriptador, por su parte, atraviesa el directorio raíz y cifra todos los contenidos con extensión .L0CK3D. También deja caer una nota de rescate en cada directorio. Sin embargo, no se produce ninguna filtración de datos, a pesar de lo que se afirma en la nota.
El aspecto más interesante de los ataques es el uso de cargas útiles C++ puras, que se están convirtiendo en una rareza dado el cambio a lenguajes de programación multiplataforma como Golang y Rust.
"Cerber es una carga útil de ransomware relativamente sofisticada, aunque antigua", afirma Bill. "Aunque el uso de la vulnerabilidad de Confluence le permite comprometer una gran cantidad de sistemas probablemente de alto valor, a menudo los datos que es capaz de cifrar se limitarán sólo a los datos de Confluence y en sistemas bien configurados estos estarán respaldados."
"Esto limita en gran medida la eficacia del ransomware para extraer dinero de las víctimas, ya que hay mucho menos incentivo para pagar", añade el investigador.
Este hecho se produce en medio de la aparición de nuevas familias de ransomware como Evil Ant, HelloFire, L00KUPRU (una variante del ransomware Xorist), Muliaka (basada en el código filtrado del ransomware Conti), Napoli (una variante del ransomware Chaos), Red CryptoApp, Risen y SEXi (basada en el código filtrado del ransomware Babuk) que han sido detectadas atacando servidores Windows y VMware ESXi.
Según informes de F.A.C.C.T. y Kaspersky, los creadores de ransomware también están aprovechando el código fuente filtrado del ransomware LockBit para crear sus propias variantes personalizadas, como Lambda (también conocido como Synapse), Mordor y Zgut.
El análisis de este último de los archivos de construcción de LockBit 3.0 filtrados ha revelado la "alarmante sencillez" con la que los atacantes pueden crear ransomware a medida y aumentar sus capacidades con características más potentes.
Kaspersky dijo que descubrió una versión a medida con la capacidad de propagarse por la red a través de PsExec aprovechando credenciales de administrador robadas y realizando actividades maliciosas, como la terminación del antivirus Microsoft Defender y el borrado de los registros de eventos de Windows con el fin de cifrar los datos y cubrir sus huellas.
"Esto subraya la necesidad de contar con medidas de seguridad robustas capaces de mitigar este tipo de amenazas de forma eficaz, así como de adoptar una cultura de ciberseguridad entre los empleados", afirma la compañía.
Fuente: thehackernews