MITRE Corporation ha revelado que fue objeto de un ciberataque por parte de un Estado-nación que aprovechó dos fallos de día cero en los dispositivos Ivanti Connect Secure a partir de enero de 2024.
La intrusión llevó a comprometer su Networked Experimentation, Research, and Virtualization Environment (NERVE), una red no clasificada de investigación y creación de prototipos.
El adversario desconocido "realizó un reconocimiento de nuestras redes, explotó una de nuestras redes privadas virtuales (VPN) a través de dos vulnerabilidades de día cero de Ivanti Connect Secure y eludió nuestra autenticación multifactor mediante el secuestro de sesión", declaró la semana pasada Lex Crumpton, investigador de operaciones cibernéticas defensivas de la organización sin ánimo de lucro.
El ataque supuso la explotación de las vulnerabilidades CVE-2023-46805 (puntuación CVSS: 8,2) y CVE-2024-21887 (puntuación CVSS: 9,1), que podían ser utilizadas por los agresores para saltarse la autenticación y ejecutar comandos arbitrarios en el sistema infectado.
Tras obtener el acceso inicial, los autores de la amenaza se desplazaron lateralmente y penetraron en su infraestructura VMware utilizando una cuenta de administrador comprometida, allanando en última instancia el camino para el despliegue de backdoors y web shells para la persistencia y la recolección de credenciales.
"NERVE es una red de colaboración no clasificada que proporciona recursos de almacenamiento, computación y redes", dijo MITRE. "Basándonos en nuestra investigación hasta la fecha, no hay indicios de que la red empresarial central de MITRE o los sistemas de los socios se hayan visto afectados por este incidente".
La organización dijo que desde entonces ha tomado medidas para contener el incidente, y que emprendió esfuerzos de respuesta y recuperación, así como análisis forenses para identificar el alcance del compromiso.
La explotación inicial de los fallos gemelos se ha atribuido a un grupo rastreado por la empresa de ciberseguridad Volexity con el nombre de UTA0178, un actor de un Estado-nación probablemente vinculado a China. Desde entonces, otros grupos de piratas informáticos vinculados a China se han unido al carro de la explotación, según Mandiant.
"Ninguna organización es inmune a este tipo de ciberataque, ni siquiera una que se esfuerce por mantener la mayor ciberseguridad posible", dijo Jason Providakes, presidente y CEO de MITRE.
"Estamos revelando este incidente de manera oportuna debido a nuestro compromiso de operar en el interés público y abogar por las mejores prácticas que mejoren la seguridad empresarial, así como las medidas necesarias para mejorar la postura de defensa cibernética actual de la industria."
Fuente: thehackernews