Las agencias de ciberseguridad de Estados Unidos, Reino Unido y Australia, han advertido de la explotación en curso de las vulnerabilidades de Microsoft Exchange ProxyShell y Fortinet, vinculadas a un grupo de ciberdelincuentes, respaldado por Irán.
La advertencia fue emitida como un aviso conjunto publicado por la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA), la Oficina Federal de Investigación (FBI), el Centro de Ciberseguridad de Australia (ACSC) y el Centro Nacional de Ciberseguridad del Reino Unido (NCSC).
Los piratas informáticos estatales iraníes centran sus ataques en los sectores de infraestructuras críticas de Estados Unidos (por ejemplo, el transporte o la sanidad) y en organizaciones australianas.
Pretenden obtener un acceso inicial a objetivos de sectores críticos que luego podrían utilizar para otros fines nefastos, como la exfiltración de datos, el despliegue de ransomware y la extorsión.
El CISA y el FBI también compartieron información sobre múltiples casos en los que se observó al grupo de ciberdelincuentes patrocinado por Irán.
En el informe, Microsoft proporcionó información sobre la evolución de las APT iraníes y su capacidad de adaptación como una amenaza siempre cambiante.
Microsoft dijo que siguió a seis grupos de amenazas iraníes, que han estado desplegando ransomware y exfiltrando datos, en ataques que comenzaron en septiembre de 2020.
El FBI también advirtió hace una semana a los socios de la industria privada sobre un actor de la amenaza iraní que intentaba comprar información robada asociada a organizaciones estadounidenses y de todo el mundo de fuentes de la web clara y oscura para vulnerar sus sistemas.
En el aviso conjunto, pueden encontrarse más detalles técnicos sobre estos ataques, incluidos los indicadores de compromiso, las tácticas y técnicas de MITRE ATT&CK, las medidas de detección y las mitigaciones.