“ Cuando una puerta se cierra, otra se abre ;”. Esto es válido tanto para los defensores de la seguridad como para los actores de amenazas, especialmente con la gran cantidad de vulnerabilidades y exploits que existen en la naturaleza. En los últimos años, los actores de amenazas han cambiado drásticamente sus TTP, en línea con la cantidad de nuevas vulnerabilidades descubiertas. Pero incluso con la afluencia de nuevos, todavía podemos observar una gran cantidad de hazañas de antaño que se utilizan en las infracciones de hoy. Los actores de amenazas explotan esta amplia variedad de vulnerabilidades para lograr resultados que van desde la escalada de privilegios y el cruce de rutas hasta eludir la seguridad y la ejecución remota de código.

En este artículo, discutimos las principales vulnerabilidades críticas que han sido explotadas en los últimos meses por los actores de amenazas para garantizar el acceso inicial y el compromiso, según algunos datos de investigación de código abierto. Las vulnerabilidades se han enumerado en orden cronológico inverso a las fechas en que NVD las publica .

1. Vulnerabilidad de Google Chrome (CVE-2022–3723)

La falla de alta gravedad (CVE-2022–3723) es un error de confusión de tipos en el motor Chrome V8 Javascript que fue descubierto e informado a Google por analistas de Avast.

Tipo : ejecución remota de código (RCE)
Cómo funciona el ataque : la confusión de tipos en V8 en Google Chrome antes de 107.0.5304.87 permitía a un atacante remoto explotar potencialmente la corrupción del montón a través de una página HTML manipulada. (Gravedad de seguridad de Chromium: alta)
Impacto: si la vulnerabilidad se explota con éxito, el atacante ejecuta código arbitrario.
Producto afectado : versión de Google Chrome anterior a 107.0.5304.87/.88 para Windows, versión anterior a 107.0.5304.87 para Mac y Linux
Mitigación: actualice el navegador Chrome a la última versión

2. Vulnerabilidad de MSDT Follina (CVE-2022–30190)

Esta es una vulnerabilidad en la Herramienta de diagnóstico de soporte de Microsoft (MSDT), que podría explotarse para ejecutar código arbitrario cuando se llama a MSDT mediante el protocolo URI. El protocolo URI ms-msdt:/ podría invocarse desde el enlace o documento de Word malicioso, que cuando el usuario víctima lo abre, permite que se ejecute código malicioso en la máquina de destino con los privilegios de la aplicación que llama. Un documento de Word que explota esta vulnerabilidad (CVE-2022–30190) se envió por primera vez a VirusTotal el 27 de mayo de 2022 desde Bielorrusia con el nombre de archivo 05–2022–0438.doc. Sin embargo, el número 0438 resulta ser el código de área de la región Follina en Italia y de ahí el nombre. No se encontró que el documento estuviera conectado a Italia de ninguna otra manera.

Tipo : ejecución remota de código (RCE)
Cómo funciona el ataque: Follina requiere la interacción del usuario para lograr la ejecución de la carga útil, sin embargo, esto se puede obtener engañando a un usuario víctima para que abra un enlace malicioso o una carga útil enviada a través de las redes sociales o el correo electrónico. Al hacer clic en el documento, se procesa un script HTML malicioso, lo que lleva a la ejecución de código arbitrario en el sistema afectado.

Impacto: un atacante que aproveche con éxito esta vulnerabilidad puede ejecutar código arbitrario con los privilegios de la aplicación que realiza la llamada. Luego, el atacante puede instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas en el contexto permitido por los derechos del usuario.
Producto afectado: Herramienta de diagnóstico de soporte de Microsoft (MSDT)
Mitigación: actualizar el sistema operativo Windows afectado a la última versión disponible

3. Vulnerabilidad SSL abierta (CVE-2022–0778)

OpenSSL es una biblioteca muy popular, ampliamente utilizada por muchas organizaciones y aplicaciones de software que requieren comunicaciones seguras. La vulnerabilidad radica en la implementación de OpenSSL del algoritmo Tonelli-Shanks, utilizado para encontrar las raíces cuadradas de los números en la criptografía de curva elíptica en el corazón de la biblioteca de cifrado.
Tipo: Denegación de servicio (DOS)
Cómo funciona el ataque: esta vulnerabilidad ocurre cuando en lugar de un número primo, se pasa un número compuesto al algoritmo Tonelli-Shanks. Esto da como resultado un problema computacional como la factorización de enteros. La función BN_mod_sqrt(), que calcula una raíz cuadrada modular, contiene un error que puede hacer que se repita indefinidamente para módulos no primos. Internamente, esta función se usa cuando se analizan certificados que contienen claves públicas de curva elíptica en forma comprimida o parámetros de curva elíptica explícitos con un punto base codificado en forma comprimida. Es posible activar el bucle infinito creando un certificado que tenga parámetros de curva explícitos no válidos. Dado que el análisis del certificado ocurre antes de la verificación de la firma del certificado, cualquier proceso que analice un certificado proporcionado externamente puede estar sujeto a un ataque de denegación de servicio. El bucle infinito también se puede alcanzar al analizar claves privadas diseñadas, ya que pueden contener parámetros de curva elíptica explícitos. Por lo tanto, las situaciones vulnerables incluyen:
— Clientes TLS que consumen certificados de servidor
— Servidores TLS que consumen certificados de cliente
— Proveedores de hospedaje que toman certificados o claves privadas de los clientes
— Autoridades certificadoras que analizan solicitudes de certificación de suscriptores
— Cualquier otra cosa que analice parámetros de curva elíptica ASN.1.
— También cualquier otra aplicación que use BN_mod_sqrt() donde el atacante puede controlar los valores de los parámetros es vulnerable a este problema de DoS.

En la versión OpenSSL 1.0.2, la clave pública no se analiza durante el análisis inicial del certificado, lo que dificulta ligeramente la activación del bucle infinito. Sin embargo, cualquier operación que requiera la clave pública del certificado activará el bucle infinito. En particular, el atacante puede usar un certificado autofirmado para activar el bucle durante la verificación de la firma del certificado.

Impacto: la vulnerabilidad de OpenSSL, CVE-2022–0778, puede usar certificados especialmente diseñados para provocar una denegación de servicio (DoS). La vulnerabilidad afecta tanto a clientes como a servidores
Producto afectado: OpenSSL versiones 1.0.2, 1.1.1 y 3.0. Se abordó en las versiones 1.1.1n y 3.0.2 del 15 de marzo de 2022. Corregido en OpenSSL 3.0.2 (afectado 3.0.0, 3.0.1).
Mitigación : el problema se corrigió en OpenSSL 1.1.1n (Afectado 1.1.1–1.1.1m). Corregido en OpenSSL 1.0.2zd (Afectado 1.0.2–1.0.2zc). Actualice SSL a la última versión.

4. Log4shell (CVE-2021–44228)

Esta vulnerabilidad afecta a la biblioteca Log4j de Apache, un marco de registro de código abierto, y se lanzó como una vulnerabilidad de día cero en diciembre de 2021. Una exploración exitosa de Log4Shell puede conducir a la ejecución remota de código. Log4Shell es una vulnerabilidad de inyección de Java Naming and Directory Interface™ (JNDI).

Tipo : ejecución remota de código (RCE)
Cómo funciona el ataque: la vulnerabilidad se puede explotar enviando una solicitud JNDI especialmente diseñada (carga útil) a un sistema vulnerable que hace que ese sistema ejecute código arbitrario. La solicitud permite que un actor de amenazas tome el control total del sistema.

Impacto: además de realizar RCE, los atacantes pueden robar información, lanzar ransomware o realizar otras actividades maliciosas.
Producto afectado: Apache Log4j es el producto afectado con más de 400 000 descargas de su proyecto GitHub. Log4j2 se ha utilizado en una variedad de productos y servicios, desde productos Apache como Struts, Solr y Flink hasta productos de seguridad como ElasticSearch, Logstash, Kafka e incluso servidores Minecraft.
Mitigación: Actualización de los activos de Log4j y los productos afectados a la última versión segura 2.17 y superior.

5. PetitPotam (CVE-2021–36942)

La falla de PetitPotam está presente en los servidores de Windows, donde los servicios de certificados de directorio activo (AD CS) no están configurados con protección contra ataques de retransmisión NTLM. Un adversario puede tomar el control de un controlador de dominio obligándolo a autenticarse en un servidor de retransmisión NTML controlado por él/ella. Luego intercepta el tráfico y se hace pasar por los clientes.

Tipo: Elevación de privilegios
Cómo funciona el ataque: PetitPotam funciona al explotar el Protocolo remoto del sistema de cifrado de archivos de Microsoft (MS-EFSRPC) para engañar a un host de Windows para que se autentique con otro a través de LSARPC en el puerto TCP 445. La explotación exitosa significa que el servidor de destino realizará Autenticación NTLM a un servidor arbitrario, lo que permite a un actor de amenazas que puede aprovechar la técnica para implementar ransomware o crear nuevas políticas.
De acuerdo con el aviso ADV210003 de Microsoft , los usuarios de Windows son potencialmente vulnerables a este ataque si utilizan Servicios de certificados de Active Directory (AD CS) con cualquiera de los siguientes servicios: -Inscripción
web de autoridad de certificación
-Servicio web de inscripción de certificados

Impacto: el atacante usa el protocolo remoto del sistema de cifrado de archivos (MS-EFSRPC) de Microsoft para conectarse a un servidor, secuestrar la sesión de autenticación y manipular los resultados de modo que el servidor crea que el atacante tiene derecho legítimo a acceder a él. Usando la autenticación, el atacante puede colocar herramientas como un shell remoto en el servidor y luego aprovechar otras vulnerabilidades usando ese shell remoto para elevar sus propios privilegios.
Producto afectado: Microsoft Active Directory Certificate Services (AD CS)
Mitigación: para evitar ataques de retransmisión NTLM en redes con NTLM habilitado, los administradores de dominio deben asegurarse de que los servicios que permiten la autenticación NTLM utilicen protecciones como la Protección extendida para la autenticación (EPA)o funciones de firma como la firma SMB. Consulte KB5005413

6. Vulnerabilidad de la cola de impresión de Windows (CVE-2021–34527, CVE-2021–1675, CVE-2022–22718)

La vulnerabilidad de ejecución remota de código de Print Spooler se aprovecha de la llamada de función RpcAddPrinterDriver en el servicio de Print Spooler que permite a los clientes agregar archivos DLL arbitrarios como controladores de impresora y cargarlos como SISTEMA (el contexto del servicio de cola de impresión).

Tipo : ejecución remota de código
Cómo funciona el ataque: la función RpcAddPrinterDriver en el servicio Print Spooler está diseñada para permitir que los usuarios actualicen las impresoras de forma remota. Sin embargo, una falla lógica en el funcionamiento permite que cualquier usuario inyecte su propia DLL sin firmar en el proceso, evitando la autenticación o validación del archivo.
Impacto: los atacantes que explotan la falla pueden potencialmente crear nuevas cuentas de usuario, modificar datos e instalar programas. La vulnerabilidad se denominó PrintNightmare debido a su potencial de afectar a millones de servidores, computadoras y portátiles que ejecutan Windows en todo el mundo.
Producto afectado: servicio de cola de impresión de Microsoft Windows
Mitigación : parchear todos los servidores afectados a la última versión

7. ProxyShell (CVE-2021–34523, CVE-2021–34473, CVE-2021–31207)

Estas vulnerabilidades se encuentran en el Servicio de acceso de clientes (CAS) de Microsoft, que generalmente se ejecuta en el puerto 443 en los Servicios de información de Internet (IIS) de Microsoft (por ejemplo, el servidor web de Microsoft). CAS suele estar expuesto a Internet para permitir que los usuarios accedan a su correo electrónico a través de dispositivos móviles y navegadores web. Esta exposición ha llevado a una explotación generalizada por parte de los actores de amenazas que comúnmente implementan shells web para ejecutar de forma remota código arbitrario en dispositivos comprometidos.

Tipo : Elevación de privilegios (CVE-2021–34523), RCE (CVE-2021–34473), Omisión de función de seguridad (CVE-2021–31207)
Cómo funciona el ataque: Los atacantes aprovechan ProxyShell para instalar una puerta trasera para acceso posterior y posterior explotación. ProxyShell comprende tres vulnerabilidades separadas que se utilizan como parte de una única cadena de ataque:

• CVE-2021–34473 es una vulnerabilidad de confusión de ruta previa a la autenticación para omitir el control de acceso.
• CVE-2021–34523 es una vulnerabilidad de elevación de privilegios en el backend de Exchange PowerShell.
• CVE-2021–31207 es una ejecución remota de código posterior a la autenticación a través de la escritura de archivos arbitrarios.

8. Inicio de sesión de proxy (CVE-2021–26855, CVE-2021–26858, CVE-2021–26857, CVE-2021–27065)

La vulnerabilidad se denominó Inicio de sesión de proxy, ya que puede utilizarse para explotar la arquitectura de proxy y el mecanismo de inicio de sesión en Exchange Server. La vulnerabilidad de inicio de sesión de proxy está relacionada con conexiones no confiables al servidor de Exchange en el puerto 443 y esto puede explotarse sin la interacción del usuario. Permite a los atacantes eludir la autenticación y hacerse pasar por un administrador. Los adversarios explotaron ProxyLogon para colocar shells web en sistemas vulnerables, donde se usó el servicio de replicación de buzones de correo de MSExchange para escribir un archivo ASPX en el disco.

Tipo : ejecución remota de código (RCE)
Cómo funciona el ataque: los adversarios explotaron ProxyLogon para colocar shells web en sistemas vulnerables, donde se usó el servicio de replicación de buzón de correo msexchange para escribir un archivo ASPX en el disco. CVE-2021-26855 , también conocido como "ProxyLogon", es un error de falsificación de solicitud del lado del servidor que se puede encadenar junto con CVE-2021-27065 , un error de escritura de archivo arbitrario posterior a la autenticación, para que un atacante logre la ejecución remota de código. . Impacto:
La explotación exitosa de estas vulnerabilidades en combinación permite que un atacante no autenticado ejecute código arbitrario en servidores Exchange vulnerables. Esto permite que el actor de amenazas obtenga persistencia para acceder a archivos, buzones e incluso credenciales almacenadas en los servidores. Además de la persistencia, también abre la puerta al movimiento lateral y la manipulación remota.
Productos afectados:
Exchange Server 2019 < 15.02.0792.010
Exchange Server 2019 < 15.02.0721.013
Exchange Server 2016 < 15.01.2106.013
Exchange Server 2013 < 15.00.1497.012
Mitigación: Microsoft lanzó parches fuera de bandapara Exchange Server 2013, 2016 y 2019, así como una actualización de defensa en profundidad para Exchange Server 2010 porque esa versión solo es vulnerable a CVE-2021–26857.

9. Inyección OGNL de Webwork del servidor de confluencia (CVE-2021–26084)

Una vulnerabilidad de inyección de OGNL (Lenguaje de navegación de gráficos de objetos) permite que un adversario no autenticado ejecute código arbitrario en una instancia de Confluence Server o Data Center.

Tipo : ejecución de código arbitrario
Cómo funciona el ataque: la vulnerabilidad permite a actores no autenticados ejecutar código arbitrario en instalaciones de Confluence Server o Data Center.
Un usuario no autenticado que no tenga privilegios administrativos puede acceder de forma remota a los puntos finales vulnerables en estas aplicaciones si está habilitado "Permitir que las personas se registren para crear su cuenta". Verifique 'COG > Administración de usuarios > Opciones de registro de usuarios' en el software afectado para ver si está habilitado.
Impacto: los actores no autenticados pueden ejecutar código arbitrario en sistemas vulnerables. Los actores de amenazas apuntan a esta vulnerabilidad cuyo objetivo podría ser descargar una carga maliciosa que instalaría una puerta trasera o un minero en la red de un usuario.
Producto afectado:Las versiones afectadas del servidor Confluence son anteriores a la versión 6.13.23, de la versión 6.14.0 anterior a la 7.4.11, de la versión 7.5.0 anterior a la 7.11.6 y de la versión 7.12.0 anterior a la 7.12.5.
Mitigación: actualizar los servidores de Confluencer a la última versión

10. Vulnerabilidad del cliente VMware vSphere (CVE-2021–21972)

El vSphere Client (HTML5) contiene una vulnerabilidad de ejecución remota de código en un complemento de vCenter Server. Un adversario con acceso de red al puerto 443 puede explotar este problema para ejecutar comandos con privilegios sin restricciones en el sistema operativo subyacente que aloja vCenter Server.

Tipo : ejecución remota de código (RCE)
Cómo funciona el ataque: se ha publicado en línea un código de prueba de concepto para explotar la vulnerabilidad. Estas vulnerabilidades permitieron a clientes no autorizados ejecutar comandos arbitrarios y enviar solicitudes en nombre del servidor de destino a través de varios protocolos: Carga de archivos no autorizada que conduce a la ejecución remota de código (RCE) (CVE-2021-21972), una falsificación de solicitud del lado del servidor no autorizada (SSRF) vulnerabilidades (CVE-2021–21973)

Impacto: el atacante puede obtener la ejecución remota de código
Productos afectados: VMware vCenter Server (7.x antes de 7.0 U1c, 6.7 antes de 6.7 U3l y 6.5 antes de 6.5 U3n) y VMware Cloud Foundation (4.x antes de 4.2 y 3.x antes de 3.10. 1.2).
Mitigación: aplicar parches a los servidores afectados. Para obtener más detalles, consulte este informe de VMWare

11. Inicio de sesión cero (CVE-2020–1472)

Zerologon es una vulnerabilidad en el flujo criptográfico del proceso Netlogon de Microsoft que permite un ataque contra los controladores de dominio de Microsoft Active Directory. El vector de inicialización (IV) se establece en ceros todo el tiempo, mientras que un IV siempre debe ser un número aleatorio. Aprovechando esta vulnerabilidad, un actor de amenazas puede conectarse con el protocolo remoto de inicio de sesión de red del directorio activo (MS-NRPC) e iniciar sesión usando NTLM.

Tipo: Elevación de privilegios
Cómo funciona el ataque: Hay scripts disponibles que pueden usarse para aprovechar esta vulnerabilidad.https://github.com/dirkjanm/CVE-2020-1472by @dirkjan incluye un exploit real para cambiar (y revertir) la contraseña del controlador de dominio.

Impacto: Zerologon permite a los atacantes hacerse pasar por cualquier computadora, incluido el controlador de dominio raíz.
Producto afectado: Microsoft Netlogon Remote Protocol ( MS-NRPC ) en servidores AD
Mitigación: Parchear todos los servidores AD (2008 R2 y superior)

Pasos generales para las mitigaciones

1. Actualice el software, los sistemas operativos, las aplicaciones y el firmware en los activos de la red de TI de manera oportuna. Priorizar la aplicación de parches a las vulnerabilidades explotadas conocidas
2. Utilice un sistema de gestión de parches centralizado.
3. Reemplace el software al final de su vida útil, es decir, el software que ya no es compatible con el proveedor
4. Aplicar la autenticación multifactor (MFA) para todos los usuarios, sin excepción.
5. Aplicar MFA en todas las conexiones VPN. Si MFA no está disponible, exija a los empleados que realizan trabajos remotos que usen contraseñas seguras.
6. Revise, valide o elimine periódicamente las cuentas con privilegios (una vez al año como mínimo).
7. Configurar el control de acceso bajo el concepto de principio de mínimo privilegio
8. Configure y asegure correctamente los dispositivos de red conectados a Internet, deshabilite los puertos y protocolos de red no utilizados o innecesarios, cifre el tráfico de red y deshabilite los servicios y dispositivos de red no utilizados. Implementar medidas de endurecimiento adecuadas
9. Segmente las redes para limitar o bloquear el movimiento lateral controlando el acceso a aplicaciones, dispositivos y bases de datos. Utilice redes privadas de área local virtual.
10. Monitoree continuamente la superficie de ataque e investigue la actividad anormal que pueda indicar el movimiento lateral de un actor de amenazas o malware
11. Reduzca las aplicaciones de terceros y las compilaciones únicas de sistemas/aplicaciones; proporcione excepciones solo si es necesario para respaldar las funciones críticas del negocio. Implementar la lista de permisos de aplicaciones.

Fuentes de referencia:

https://news.sophos.com/en-us https://cve.mitre.org/ https://nvd.nist.gov/vuln/detail/ https://www.cisa.gov/uscert/ncas /alerts/aa22-117a https://www.crowdstrike.com/blog/cve-2020-1472-zerologon-security-advisory/ https://resources.infosecinstitute.com/topic/most-dangerous-vulnerabilities-exploited/ https://www.semperis.com/blog/lo-que-necesita-saber-sobre-printnightmare-the-critical-windows-print-spooler-vulnerability/ https://www.sentinelone.com/blog/ Enterprise-security-essentials-top-15-most-routinely-exploited-vulnerabilities-2022/ https://www.trellix.com/en-us/about/newsroom/stories/research/countering-follina-attack-with- redes-seguridad-plataformas-advanced-detection-features.html