Un actor de amenazas con motivaciones financieras llamado Magnet Goblin está adoptando rápidamente vulnerabilidades de seguridad 1-day en su arsenal con el fin de violar oportunistamente dispositivos de borde y servicios de cara al público y desplegar malware en hosts comprometidos.
"El sello distintivo del grupo de actores de amenazas Magnet Goblin es su capacidad para aprovechar rápidamente las vulnerabilidades recién reveladas, en particular las dirigidas a servidores públicos y dispositivos de borde", dijo Check Point.
"En algunos casos, el despliegue de los exploits se produce en el plazo de 1 día después de que se publique una [prueba de concepto], lo que aumenta significativamente el nivel de amenaza planteado por este actor".
Los ataques montados por el adversario han aprovechado los servidores Ivanti Connect Secure VPN, Magento, Qlik Sense y posiblemente Apache ActiveMQ sin parches como vector de infección inicial para obtener acceso no autorizado. Se dice que el grupo está activo desde al menos enero de 2022.
Una explotación exitosa es seguida por el despliegue de un troyano de acceso remoto (RAT) multiplataforma apodado Nerbian RAT, que fue revelado por primera vez por Proofpoint en mayo de 2022, así como su variante simplificada llamada MiniNerbian. El uso de la versión de Linux de Nerbian RAT fue destacado anteriormente por Darktrace.
Ambas cepas permiten la ejecución de comandos arbitrarios recibidos de un servidor de comando y control (C2) y la exfiltración de los resultados respaldados a él.
Algunas de las otras herramientas utilizadas por Magnet Goblin incluyen el ladrón de credenciales JavaScript WARPWIRE, el software de tunelización basado en Go conocido como Ligolo, y ofertas legítimas de escritorio remoto como AnyDesk y ScreenConnect.
"Magnet Goblin, cuyas campañas parecen estar motivadas económicamente, se ha apresurado a adoptar vulnerabilidades 1-day para distribuir su malware personalizado para Linux, Nerbian RAT y MiniNerbian", afirma la empresa.
"Estas herramientas han pasado desapercibidas, ya que residen principalmente en dispositivos periféricos. Esto forma parte de una tendencia actual de los actores de amenazas a atacar áreas que hasta ahora habían quedado desprotegidas."
Fuente: thehackernews.com