El grupo de hackers conocido como Lace Tempest ha sido vinculado a la explotación de un fallo zero-day en el software de soporte informático SysAid en ataques limitados, según nuevos hallazgos de Microsoft.
Lace Tempest, conocida por distribuir el ransomware Cl0p, ha aprovechado en el pasado fallos zero-day en los servidores MOVEit Transfer y PaperCut.
El problema, rastreado como CVE-2023-47246, se refiere a un fallo de recorrido de ruta que podría dar lugar a la ejecución de código en instalaciones locales. Ha sido parcheado por SysAid en la versión 23.3.36 del software.
"Después de explotar la vulnerabilidad, Lace Tempest emitió comandos a través del software SysAid para entregar un cargador de malware para el malware Gracewire", dijo Microsoft.
"Esto es típicamente seguido por actividad operada por humanos, incluyendo movimiento lateral, robo de datos y despliegue de ransomware".
Según SysAid, se ha observado al actor de la amenaza cargando un archivo WAR que contiene un shell web y otras cargas útiles en la raíz web del servicio web Tomcat de SysAid.
La shell web, además de proporcionar al actor de la amenaza acceso de puerta trasera al host comprometido, se utiliza para entregar un script PowerShell diseñado para ejecutar un cargador que, a su vez, carga Gracewire.
Los atacantes también despliegan un segundo script PowerShell que se utiliza para borrar la evidencia de la explotación después de que se hayan desplegado las cargas maliciosas.
Además, las cadenas de ataque se caracterizan por el uso del agente MeshCentral, así como de PowerShell para descargar y ejecutar Cobalt Strike, un marco legítimo de post-explotación.
Se recomienda encarecidamente a las organizaciones que utilizan SysAid que apliquen los parches lo antes posible para frustrar posibles ataques de ransomware, así como que analicen sus entornos en busca de indicios de explotación antes de aplicar los parches.
El hecho se produce cuando la Oficina Federal de Investigación de Estados Unidos (FBI) advirtió que los atacantes de ransomware están apuntando a terceros proveedores y herramientas de sistemas legítimos para comprometer a las empresas.
"A partir de junio de 2023, el Silent Ransom Group (SRG), también llamado Luna Moth, llevó a cabo ataques de extorsión y robo de datos de phishing de devolución de llamada enviando a las víctimas un número de teléfono en un intento de phishing, generalmente relacionado con cargos pendientes en la cuenta de las víctimas", dijo el FBI.
Si una víctima caía en el engaño y llamaba al número de teléfono proporcionado, los actores maliciosos le indicaban que instalara una herramienta legítima de gestión del sistema a través de un enlace proporcionado en un correo electrónico de seguimiento.
A continuación, los atacantes utilizaban la herramienta de gestión para instalar otros programas auténticos que podían reutilizarse para actividades maliciosas, señaló la agencia, añadiendo que los actores comprometían archivos locales y unidades compartidas de red, exfiltraban datos de las víctimas y extorsionaban a las empresas.
Fuente: thehackernews