Un presunto adversario de un estado-nación ha sido observado armando tres fallos de seguridad en Ivanti Cloud Service Appliance (CSA) de día cero para realizar una serie de acciones maliciosas.
Eso es según los hallazgos de Fortinet FortiGuard Labs, que dijo que las vulnerabilidades fueron abusadas para obtener acceso no autenticado a la CSA, enumerar los usuarios configurados en el dispositivo, y tratar de acceder a las credenciales de esos usuarios.
«Los adversarios avanzados fueron observados explotando y encadenando vulnerabilidades de día cero para establecer acceso de cabeza de playa en la red de la víctima», dijeron los investigadores de seguridad Faisal Abdul Malik Qureshi, John Simmons, Jared Betts, Luca Pugliese, Trent Healy, Ken Evans y Robert Reyes.
Los fallos en cuestión se enumeran a continuación:
- CVE-2024-8190 (puntuación CVSS: 7,2) - Un fallo de inyección de comandos en el recurso /gsb/DateTimeTab.php
- CVE-2024-8963 (puntuación CVSS: 9,4) - Una vulnerabilidad de path traversal en el recurso /client/index.php
- CVE-2024-9380 (puntuación CVSS: 7,2) - Una vulnerabilidad de inyección de comando autenticado que afecta al recurso reports.php
En la siguiente etapa, se utilizaron las credenciales robadas asociadas a gsbadmin y admin para realizar una explotación autenticada de la vulnerabilidad de inyección de comandos que afectaba al recurso /gsb/reports.php con el fin de soltar un shell web («help.php»).
«El 10 de septiembre de 2024, cuando el aviso para CVE-2024-8190 fue publicado por Ivanti, el actor de la amenaza, aún activo en la red del cliente, 'parcheó' las vulnerabilidades de inyección de comandos en los recursos /gsb/DateTimeTab.php, y /gsb/reports.php, haciéndolos inexplotables.»
«En el pasado, se ha observado que los actores de amenazas parchean las vulnerabilidades después de haberlas explotado, y conseguido afianzarse en la red de la víctima, para impedir que cualquier otro intruso acceda al activo o activos vulnerables, e interfiera potencialmente en sus operaciones de ataque.»
Explotación de la vulnerabilidad SQLi
Los atacantes desconocidos también han sido identificados abusando de CVE-2024-29824, un fallo crítico que afecta a Ivanti Endpoint Manager (EPM), después de comprometer el dispositivo CSA orientado a Internet. En concreto, se trataba de habilitar el procedimiento almacenado xp_cmdshell para lograr la ejecución remota de código.
Cabe señalar que la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE.UU. añadió la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) en la primera semana de octubre de 2024.
Algunas de las otras actividades incluían la creación de un nuevo usuario llamado mssqlsvc, la ejecución de comandos de reconocimiento y la exfiltración de los resultados de esos comandos mediante una técnica conocida como tunelización DNS utilizando código PowerShell. También cabe destacar el despliegue de un rootkit en forma de objeto del kernel de Linux (sysinitd.ko) en el dispositivo CSA comprometido.
«Según los investigadores de Fortinet, el motivo más probable es que el autor de la amenaza mantuviera la persistencia a nivel de kernel en el dispositivo CSA, que podría sobrevivir incluso a un restablecimiento de fábrica.» afirman los investigadores de Fortinet.
Fuente: thehackernews