Se ha atribuido a actores de amenazas de procedencia desconocida una campaña maliciosa dirigida predominantemente a organizaciones en Japón desde enero de 2025.
"El atacante ha explotado la vulnerabilidad CVE-2024-4577, un defecto de ejecución remota de código (RCE) en la implementación PHP-CGI de PHP en Windows, para obtener acceso inicial a las máquinas víctimas", dijo el investigador de Cisco Talos Chetan Raghuprasad en un informe técnico publicado el jueves.
"El atacante utiliza plugins del kit Cobalt Strike 'TaoWu', disponible públicamente, para actividades de explotación posterior".
Los objetivos de la actividad maliciosa abarcan empresas de los sectores de la tecnología, las telecomunicaciones, el entretenimiento, la educación y el comercio electrónico en Japón.
Todo comienza con los actores de la amenaza explotando la vulnerabilidad CVE-2024-4577 para obtener acceso inicial y ejecutar scripts PowerShell para ejecutar el payload HTTP shellcode inversa de Cobalt Strike para concederse acceso remoto persistente al endpoint comprometido.
El siguiente paso consiste en llevar a cabo el reconocimiento, la escalada de privilegios y el movimiento lateral utilizando herramientas como JuicyPotato, RottenPotato, SweetPotato, Fscan y Seatbelt. La persistencia adicional se establece a través de modificaciones del Registro de Windows, tareas programadas y servicios a medida utilizando los plugins del kit Cobalt Strike llamado TaoWu.
"Para mantener el sigilo, borran los registros de eventos mediante comandos wevtutil, eliminando los rastros de sus acciones de los registros de seguridad, sistema y aplicaciones de Windows", señala Raghuprasad. "Finalmente, ejecutan comandos Mimikatz para volcar y exfiltrar contraseñas y hashes NTLM de la memoria de la máquina de la víctima".
Los ataques culminan con el robo de contraseñas y hashes NTLM de los hosts infectados. Un análisis más detallado de los servidores de mando y control (C2) asociados a la herramienta Cobalt Strike ha revelado que el actor de la amenaza dejó los listados de directorios accesibles a través de Internet, exponiendo así todo el conjunto de herramientas y marcos de adversarios alojados en los servidores en la nube de Alibaba.
A continuación se enumeran algunas de las herramientas más destacadas:
- Browser Exploitation Framework (BeEF), un software de pentesting disponible públicamente para ejecutar comandos en el contexto del navegador
- Viper C2, un marco modular C2 que facilita la ejecución remota de comandos y la generación de payloads de shell inversa Meterpreter.
- Blue-Lotus, un marco de ataque JavaScript webshell cross-site scripting (XSS) que permite la creación de payloads JavaScript web shell para realizar ataques XSS, capturar pantallas, obtener reverse shell, robar cookies del navegador y crear nuevas cuentas en el Sistema de Gestión de Contenidos (CMS)
"Evaluamos con una confianza moderada que el motivo del atacante va más allá de la simple recolección de credenciales, basándonos en nuestra observación de otras actividades posteriores a la explotación, como el establecimiento de la persistencia, la elevación a privilegios de nivel SYSTEM y el acceso potencial a marcos adversarios, lo que indica la probabilidad de futuros ataques", dijo Raghuprasad.
Fuente: thehackernews