Funcionarios de ciberseguridad, fuerzas de seguridad e inteligencia de Estados Unidos revelaron este martes que sofisticados hackers se infiltraron en un probable contratista militar estadounidense y mantuvieron un acceso «persistente y a largo plazo» a su sistema.
La Agencia de Seguridad Nacional, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras y el FBI publicaron un aviso detallado y conjunto con la notificación, explicando que en noviembre de 2021 la CISA respondió a un informe de actividad maliciosa en la red empresarial de una «organización anónima del Sector de la Base Industrial de Defensa (DIB)».
CISA descubrió un probable compromiso, y dijo que algunos de los intrusos tenían «acceso a largo plazo al entorno». Después de entrar, los funcionarios dijeron que los hackers aprovecharon un conjunto de herramientas de código abierto conocido como Impacket para construir y manipular «programáticamente» los protocolos de red.
Impacket es una colección de bibliotecas de Python que «se conectan a aplicaciones como los escáneres de vulnerabilidad, permitiéndoles trabajar con los protocolos de red de Windows», dijo Katie Nickels, directora de inteligencia de amenazas de Red Canary, por correo electrónico. Los piratas informáticos prefieren Impacket porque les ayuda a recuperar credenciales, emitir comandos y distribuir malware en los sistemas, dijo.
Los intrusos digitales en este caso también utilizaron una herramienta de exfiltración de datos personalizada, CovalentStealer, para robar datos sensibles y explotaron una vulnerabilidad de Microsoft Exchange en el servidor de la organización de defensa para obtener acceso de forma remota, dijeron los funcionarios. A partir de ahí, los hackers utilizaron las cuentas comprometidas de la empresa para infiltrarse aún más en la organización objetivo.
Nickels dijo que los piratas informáticos podrían haber obtenido acceso aprovechando las vulnerabilidades de Exchange, pero no hay «ninguna prueba que apoye esto en este momento, ni tampoco hay pruebas de que los adversarios conocieran las vulnerabilidades de ProxyNotShell, una referencia a una nueva vulnerabilidad de día cero de Exchange Server».
Se ha informado de varias vulnerabilidades de Exchange a lo largo de varios años, dijo Nickels. Dada la dificultad de aplicar parches a los servidores Exchange locales, dijo, muchas de estas vulnerabilidades no se corrigen y se convierten en vectores de ataque.
El aviso incluye detalles sobre los indicadores de compromiso encontrados por CISA y una organización de respuesta a incidentes de terceros. CISA, el FBI y la NSA recomiendan que la base industrial de defensa y otras organizaciones de infraestructuras críticas apliquen las medidas de mitigación detalladas en el aviso.
Con información de Cyberscoop.