TeamViewer ha revelado este jueves que detectó una "irregularidad" en su entorno informático corporativo interno el 26 de junio de 2024.
"Inmediatamente activamos nuestro equipo y procedimientos de respuesta, iniciamos las investigaciones junto con un equipo de expertos en ciberseguridad de renombre mundial y aplicamos las medidas correctoras necesarias", declaró la empresa en un comunicado.
Además, señaló que su entorno informático corporativo está completamente aislado del entorno del producto y que no hay pruebas que indiquen que los datos de ningún cliente se hayan visto afectados como consecuencia del incidente.
No ha revelado detalles sobre quién ha podido estar detrás de la intrusión y cómo ha podido llevarla a cabo, pero ha afirmado que se está llevando a cabo una investigación y que informará de la situación a medida que se disponga de nueva información.
TeamViewer, con sede en Alemania, es el fabricante de software de supervisión y gestión remotas (RMM) que permite a los proveedores de servicios gestionados (MSP) y a los departamentos de TI gestionar servidores, estaciones de trabajo, dispositivos de red y puntos finales. Lo utilizan más de 600.000 clientes.
Curiosamente, el Centro de Análisis e Intercambio de Información Sanitaria de Estados Unidos (Health-ISAC) ha emitido un boletín sobre la explotación activa de TeamViewer por parte de actores de amenazas, según la Asociación Americana de Hospitales (AHA).
"Se ha observado a agentes de amenazas utilizando herramientas de acceso remoto", afirma la organización sin ánimo de lucro. "Se ha observado que Teamviewer está siendo explotado por actores de amenazas asociados con APT29".
Por el momento no está claro si esto significa que los atacantes están abusando de las deficiencias de TeamViewer para vulnerar las redes de los clientes, utilizando malas prácticas de seguridad para infiltrarse en los objetivos y desplegar el software, o que han llevado a cabo un ataque contra los propios sistemas de TeamViewer.
APT29, también conocido como BlueBravo, Cloaked Ursa, Cozy Bear, Midnight Blizzard y The Dukes, es un actor de amenazas patrocinado por el Estado y afiliado al Servicio de Inteligencia Exterior de Rusia (SVR). Recientemente, se le ha relacionado con los ataques a Microsoft y Hewlett Packard Enterprise (HPE).
Desde entonces, Microsoft ha revelado que APT29 también accedió a algunos buzones de correo electrónico de clientes tras el ataque que salió a la luz a principios de este año, según informan Bloomberg y Reuters.
"Esta semana seguimos enviando notificaciones a los clientes con cuentas de correo electrónico corporativo de Microsoft que fueron filtradas por el actor de la amenaza Midnight Blizzard", dijo el gigante tecnológico a la agencia de noticias.
Ataque atribuido oficialmente a APT29
TeamViewer, en una actualización del viernes, atribuyó el ataque a APT29, afirmando que se dirigió a las credenciales asociadas con una cuenta de empleado dentro de su entorno corporativo de TI.
"Basándose en la supervisión continua de la seguridad, nuestros equipos identificaron un comportamiento sospechoso de esta cuenta y pusieron inmediatamente en marcha medidas de respuesta a incidentes", señaló en una alerta revisada. "No hay pruebas de que el actor de la amenaza obtuviera acceso a nuestro entorno de productos o datos de clientes".
NCC Group, que alertó por primera vez de la brecha a través de una divulgación limitada debido al uso generalizado del software, ha recomendado la eliminación del software "hasta que se conozcan más detalles sobre el tipo de compromiso al que se ha visto sometido TeamViewer."
Fuente: thehackernews