“ Quando uma porta se fecha, outra se abre ;”. Isso vale tanto para os defensores da segurança quanto para os agentes de ameaças, especialmente com a miríade de vulnerabilidades e explorações que existem por aí. Nos últimos anos, os agentes de ameaças mudaram drasticamente seus TTPs, de acordo com o número de novas vulnerabilidades descobertas. Mas, mesmo com o influxo de novos, ainda podemos observar um grande número de explorações do passado sendo usadas em violações hoje. Essa ampla variedade de vulnerabilidades é explorada por agentes de ameaças para obter resultados que variam de escalonamento de privilégios e path traversal a desvios de segurança e execução remota de código!

Neste artigo, discutimos as principais vulnerabilidades críticas que foram exploradas nos últimos meses por agentes de ameaças para garantir o acesso inicial e o comprometimento, com base em alguns dados de pesquisa de código aberto. As vulnerabilidades foram listadas em ordem cronológica inversa das datas em que foram publicadas pelo NVD .

1. Vulnerabilidade do Google Chrome (CVE-2022–3723)

A falha de alta gravidade (CVE-2022–3723) é um bug de confusão de tipo no mecanismo Javascript Chrome V8 que foi descoberto e relatado ao Google por analistas da Avast.

Tipo : Execução remota de código (RCE)
Como funciona o ataque : Confusão de tipos em V8 no Google Chrome antes de 107.0.5304.87 permitia que um invasor remoto explorasse potencialmente a corrupção de heap por meio de uma página HTML criada. (Gravidade da segurança do Chromium: alta)
Impacto: se a vulnerabilidade for explorada com êxito, a execução de código arbitrário do invasor.
Produto afetado : versão do Google Chrome anterior a 107.0.5304.87/.88 para Windows, versão anterior a 107.0.5304.87 para Mac e Linux
Mitigação: atualize o navegador Chrome para a versão mais recente

2. Vulnerabilidade MSDT Follina (CVE-2022–30190)

Esta é uma vulnerabilidade na Ferramenta de Diagnóstico de Suporte da Microsoft (MSDT), que pode ser explorada para executar código arbitrário quando o MSDT é chamado usando o protocolo URI. O protocolo URI ms-msdt:/ pode ser invocado a partir do documento ou link do Word malicioso , que quando aberto pelo usuário vítima , permite que o código malicioso seja executado na máquina de destino com os privilégios do aplicativo de chamada.Um documento do Word que explora esta vulnerabilidade (CVE- 2022–30190) foi enviado pela primeira vez ao VirusTotal em 27 de maio de 2022 da Bielorrússia com o nome de arquivo 05–2022–0438.doc. No entanto, o número 0438 acaba sendo o código de área da região Follina na Itália e daí o nome. O documento não foi encontrado para ser conectado à Itália de qualquer outra forma.

Tipo : Execução remota de código (RCE)
Como funciona o ataque: Follina requer interação do usuário para obter a execução da carga útil, no entanto, isso pode ser obtido enganando o usuário vítima para abrir um link malicioso ou carga útil entregue por meio de mídia social ou e-mail. Ao clicar no documento, um script HTML malicioso é renderizado, levando à execução de código arbitrário no sistema afetado.

Impacto: um invasor que explorar com êxito essa vulnerabilidade poderá executar código arbitrário com os privilégios do aplicativo de chamada. O invasor pode instalar programas, visualizar, alterar ou excluir dados ou criar novas contas no contexto permitido pelos direitos do usuário
Produto afetado: Ferramenta de diagnóstico de suporte da Microsoft (MSDT)
Mitigação: corrija o sistema operacional Windows afetado para a versão mais recente disponível

3. Vulnerabilidade Open SSL (CVE-2022–0778)

OpenSSL é uma biblioteca muito popular, amplamente utilizada por muitas organizações e aplicativos de software que requerem comunicações seguras. A vulnerabilidade está na implementação do OpenSSL do algoritmo Tonelli-Shanks, usado para encontrar as raízes quadradas dos números na criptografia de curva elíptica no coração da biblioteca de criptografia.
Tipo: Denial of Service (DOS)
Como funciona o ataque: Esta vulnerabilidade ocorre quando, em vez de um número primo, um número composto é passado para o algoritmo Tonelli-Shanks. Isso resulta em um problema computacional como fatoração inteira. A função BN_mod_sqrt(), que calcula uma raiz quadrada modular, contém um bug que pode fazer com que ela fique em loop indefinidamente para módulos não primos. Internamente, essa função é usada ao analisar certificados que contêm chaves públicas de curva elíptica em formato compactado ou parâmetros de curva elíptica explícitos com um ponto base codificado em formato compactado. É possível acionar o loop infinito criando um certificado que tenha parâmetros de curva explícitos inválidos. Como a análise do certificado ocorre antes da verificação da assinatura do certificado, qualquer processo que analisa um certificado fornecido externamente pode estar sujeito a um ataque de negação de serviço. O loop infinito também pode ser alcançado ao analisar chaves privadas criadas, pois elas podem conter parâmetros de curva elíptica explícitos. Assim, as situações vulneráveis ​​incluem:
— Clientes TLS consumindo certificados de servidor
— Servidores TLS consumindo certificados de cliente
— Provedores de hospedagem recebendo certificados ou chaves privadas de clientes
— Autoridades de certificação analisando solicitações de certificação de assinantes
— Qualquer outra coisa que analisa parâmetros de curva elíptica ASN.1.
— Além disso, quaisquer outros aplicativos que usam o BN_mod_sqrt() onde o invasor pode controlar os valores dos parâmetros são vulneráveis ​​a esse problema de DoS.

Na versão OpenSSL 1.0.2, a chave pública não é analisada durante a análise inicial do certificado, o que torna um pouco mais difícil acionar o loop infinito. No entanto, qualquer operação que exija a chave pública do certificado acionará o loop infinito. Em particular, o invasor pode usar um certificado autoassinado para acionar o loop durante a verificação da assinatura do certificado.

Impacto: a vulnerabilidade do OpenSSL, CVE-2022–0778, pode usar certificados especialmente criados para causar uma negação de serviço (DoS). A vulnerabilidade afeta clientes e servidores
Produto afetado: OpenSSL versões 1.0.2, 1.1.1 e 3.0. Foi resolvido nas versões 1.1.1n e 3.0.2 em 15 de março de 2022. Corrigido no OpenSSL 3.0.2 (3.0.0,3.0.1 afetado).
Mitigação : o problema foi corrigido no OpenSSL 1.1.1n (1.1.1–1.1.1m afetado). Corrigido no OpenSSL 1.0.2zd (1.0.2–1.0.2zc afetado). Atualize o SSL para a versão mais recente.

4. Log4shell (CVE-2021–44228)

Essa vulnerabilidade afeta a biblioteca Log4j do Apache, uma estrutura de log de código aberto, e foi lançada como uma vulnerabilidade de dia zero em dezembro de 2021. Uma exploração Log4Shell bem-sucedida pode levar à execução remota de código. Log4Shell é uma vulnerabilidade de injeção Java Naming and Directory Interface™ (JNDI).

Tipo : Execução remota de código (RCE)
Como funciona o ataque: A vulnerabilidade pode ser explorada enviando uma solicitação JNDI especialmente criada (carga útil) a um sistema vulnerável que faz com que esse sistema execute um código arbitrário. A solicitação permite que um agente de ameaça assuma o controle total do sistema.

Impacto: além de conduzir o RCE, os invasores podem roubar informações, lançar ransomware ou realizar outras atividades maliciosas.
Produto afetado: Apache Log4j é o produto afetado com mais de 400.000 downloads de seu projeto GitHub. O Log4j2 tem sido usado em uma variedade de produtos e serviços, desde produtos Apache como Struts, Solr e Flink até produtos de segurança como ElasticSearch, Logstash, Kafka e até servidores Minecraft.
Mitigação: atualização dos ativos Log4j e produtos afetados para a versão segura mais recente 2.17 e superior.

5. PetitPotam (CVE-2021–36942)

A falha PetitPotam está presente em servidores Windows, onde os serviços de certificados do Active Directory (AD CS) não estão configurados com proteção contra ataques de retransmissão NTLM. Um adversário pode assumir o controle de um controlador de domínio forçando-o a se autenticar em um servidor de retransmissão NTML controlado por ele. Em seguida, ele intercepta o tráfego e personifica os clientes.

Tipo: Elevação de privilégio
Como o ataque funciona: PetitPotam funciona explorando o Protocolo Remoto do Sistema de Arquivos com Criptografia da Microsoft (MS-EFSRPC) para induzir um host Windows a se autenticar em outro por LSARPC na porta TCP 445. A exploração bem-sucedida significa que o servidor de destino executará Autenticação NTLM para um servidor arbitrário, permitindo que um agente de ameaça possa aproveitar a técnica para implantar ransomware ou criar novas políticas.
De acordo com o comunicado ADV210003 da Microsoft , os usuários do Windows são potencialmente vulneráveis ​​a esse ataque se estiverem usando os Serviços de Certificados do Active Directory (AD CS) com qualquer um dos seguintes serviços:
-Registro na Web da Autoridade Certificadora
-Serviço Web de Registro no Certificado

Impacto: o invasor usa o Protocolo Remoto do Sistema de Arquivos com Criptografia (MS-EFSRPC) da Microsoft para se conectar a um servidor, sequestrar a sessão de autenticação e manipular os resultados de forma que o servidor acredite que o invasor tem o direito legítimo de acessá-lo. Usando a autenticação, o invasor pode descartar ferramentas como um shell remoto no servidor e aproveitar outras explorações usando esse shell remoto para elevar seus próprios privilégios.
Produto afetado: Microsoft Active Directory Certificate Services (AD CS)
Mitigação: para evitar ataques de retransmissão NTLM em redes com NTLM ativado, os administradores de domínio devem garantir que os serviços que permitem a autenticação NTLM façam uso de proteções como Proteção Estendida para Autenticação (EPA)ou recursos de assinatura, como assinatura SMB. Consulte KB5005413

6. Vulnerabilidade do Windows Print Spooler (CVE-2021–34527, CVE-2021–1675, CVE-2022–22718)

A vulnerabilidade de execução remota de código do Spooler de impressão aproveita a chamada de função RpcAddPrinterDriver no serviço Spooler de impressão que permite aos clientes adicionar arquivos DLL arbitrários como drivers de impressora e carregá-los como SISTEMA (o contexto do serviço de spooler).

Tipo : Execução remota de código
Como funciona o ataque: A função RpcAddPrinterDriver no serviço Print Spooler foi projetada para permitir que os usuários atualizem as impressoras remotamente. No entanto, uma falha lógica no funcionamento permite que qualquer usuário injete sua própria DLL não assinada no processo, ignorando a autenticação ou validação do arquivo.
Impacto: os invasores que exploram a falha podem criar novas contas de usuário, modificar dados e instalar programas. A vulnerabilidade foi apelidada de PrintNightmare devido ao seu potencial de afetar milhões de servidores, computadores e laptops executando o Windows em todo o mundo.
Produto afetado: Serviço de spooler de impressão do Microsoft Windows
Mitigação : corrija todos os servidores afetados para a versão mais recente

7. ProxyShell (CVE-2021–34523, CVE-2021–34473, CVE-2021–31207)

Essas vulnerabilidades estão no Microsoft Client Access Service (CAS), que geralmente é executado na porta 443 no Microsoft Internet Information Services (IIS) (por exemplo, servidor da Web da Microsoft). O CAS é comumente exposto à Internet para permitir que os usuários acessem seus e-mails por meio de dispositivos móveis e navegadores da web. Essa exposição levou à exploração generalizada por agentes de ameaças que geralmente implantam shells da Web para executar remotamente códigos arbitrários em dispositivos comprometidos.

Tipo : Elevação de privilégio (CVE-2021–34523), RCE (CVE-2021–34473), Desvio de recurso de segurança (CVE-2021–31207)
Como funciona o ataque: Os invasores exploram o ProxyShell para instalar um backdoor para acesso posterior e posterior exploração. O ProxyShell compreende três vulnerabilidades separadas usadas como parte de uma única cadeia de ataque:

• CVE-2021–34473 é uma vulnerabilidade de confusão de caminho pré-autenticação para ignorar o controle de acesso.
• CVE-2021–34523 é uma vulnerabilidade de elevação de privilégio no back-end do Exchange PowerShell.
• CVE-2021–31207 é a execução de código remoto pós-autenticação por meio de gravação arbitrária de arquivo.

8. Logon de proxy (CVE-2021–26855, CVE-2021–26858, CVE-2021–26857, CVE-2021–27065)

A vulnerabilidade foi nomeada Proxy Logon, pois pode ser usada para explorar a arquitetura do proxy e o mecanismo de login no Exchange Server. A vulnerabilidade de logon de proxy está relacionada a conexões não confiáveis ​​com o servidor Exchange na porta 443 e isso pode ser explorado sem interação do usuário. Ele permite que os invasores ignorem a autenticação e representem um administrador. Os adversários exploraram o ProxyLogon para lançar web shells em sistemas vulneráveis, onde o serviço de replicação de caixa de correio MSExchange foi usado para gravar um arquivo ASPX no disco.

Tipo : Execução remota de código (RCE)
Como funciona o ataque: Os adversários exploraram o ProxyLogon para descartar web shells em sistemas vulneráveis, onde o serviço de replicação de caixa de correio msexchange foi usado para gravar um arquivo ASPX no disco. CVE-2021–26855 , também conhecido como “ProxyLogon”, é uma falha de falsificação de solicitação do lado do servidor que pode ser encadeada com CVE-2021–27065 , um bug arbitrário de gravação de arquivo pós-autenticação, para um invasor obter a execução remota de código . Impacto:
A exploração bem-sucedida dessas vulnerabilidades combinadas permite que um invasor não autenticado execute código arbitrário em servidores Exchange vulneráveis. Isso permite que o agente da ameaça obtenha persistência para acessar arquivos, caixas de correio e até credenciais armazenadas nos servidores. Além da persistência também abre portas para movimentação lateral e manipulação remota.
Produtos afetados:
Exchange Server 2019 < 15.02.0792.010
Exchange Server 2019 < 15.02.0721.013
Exchange Server 2016 < 15.01.2106.013
Exchange Server 2013 < 15.00.1497.012
Mitigação: a Microsoft lançou patches fora de bandapara Exchange Server 2013, 2016 e 2019, bem como uma atualização de defesa detalhada para Exchange Server 2010 porque essa versão é vulnerável apenas a CVE-2021–26857.

9. Injeção de OGNL do Webwork do servidor Confluence (CVE-2021–26084)

Uma vulnerabilidade de injeção OGNL (Object-Graph Navigation Language) permite que um adversário não autenticado execute código arbitrário em uma instância do Confluence Server ou Data Center.

Tipo : Execução de código arbitrário
Como funciona o ataque: A vulnerabilidade permite que atores não autenticados executem código arbitrário em instalações do Confluence Server ou Data Center.
Um usuário não autenticado que não tenha privilégios administrativos pode acessar remotamente os endpoints vulneráveis ​​nesses aplicativos se 'Permitir que as pessoas se inscrevam para criar suas contas' estiver ativado. Verifique 'COG > Gerenciamento de usuários > Opções de inscrição do usuário' no software afetado para ver se isso está ativado.
Impacto: atores não autenticados podem executar código arbitrário em sistemas vulneráveis. Atores de ameaças visam essa vulnerabilidade cujo objetivo pode ser baixar uma carga maliciosa que instalaria um backdoor ou minerador na rede de um usuário.
Produto Afetado:As versões afetadas do servidor Confluence são anteriores à versão 6.13.23, da versão 6.14.0 anterior à 7.4.11, da versão 7.5.0 anterior à 7.11.6 e da versão 7.12.0 anterior à 7.12.5.
Mitigação: corrija os servidores do Confluencer para a versão mais recente

10. Vulnerabilidade do cliente VMware vSphere (CVE-2021–21972)

O vSphere Client (HTML5) contém uma vulnerabilidade de execução remota de código em um plug-in do vCenter Server. Um adversário com acesso de rede à porta 443 pode explorar esse problema para executar comandos com privilégios irrestritos no sistema operacional subjacente que hospeda o vCenter Server.

Tipo : Execução remota de código (RCE)
Como funciona o ataque: O código de prova de conceito para explorar a vulnerabilidade foi publicado online. Essas vulnerabilidades permitiram que clientes não autorizados executassem comandos arbitrários e enviassem solicitações em nome do servidor de destino por meio de vários protocolos: Upload de arquivo não autorizado levando à execução remota de código (RCE) (CVE-2021-21972), uma falsificação de solicitação não autorizada do lado do servidor (SSRF) vulnerabilidades (CVE-2021–21973)

Impacto: o invasor pode obter execução remota de código
Produtos afetados: VMware vCenter Server (7.x antes de 7.0 U1c, 6.7 antes de 6.7 U3l e 6.5 antes de 6.5 U3n) e VMware Cloud Foundation (4.x antes de 4.2 e 3.x antes de 3.10. 1.2).
Mitigação: aplicação de patch nos servidores afetados. Para obter mais detalhes, consulte este relatório VMWare

11. ZeroLogon (CVE-2020–1472)

Zerologon é uma vulnerabilidade no fluxo criptográfico do processo Netlogon da Microsoft que permite um ataque contra os controladores de domínio do Microsoft Active Directory. O vetor de inicialização (IV) é definido para todos os zeros o tempo todo, enquanto um IV deve ser sempre um número aleatório. Aproveitando essa vulnerabilidade, um agente de ameaça pode se conectar com o protocolo remoto de logon de rede do diretório ativo (MS-NRPC) e fazer logon usando NTLM.

Tipo: Elevação de privilégio
Como funciona o ataque: Existem scripts disponíveis que podem ser usados ​​para explorar esta vulnerabilidade.https://github.com/dirkjanm/CVE-2020-1472por @dirkjan inclui uma exploração real para alterar (e reverter) a senha do controlador de domínio.

Impacto: o Zerologon permite que invasores representem qualquer computador, incluindo o controlador de domínio raiz.
Produto afetado: Microsoft Netlogon Remote Protocol ( MS-NRPC ) em servidores AD
Mitigação: corrija todos os servidores AD (2008 R2 e superior)

Etapas gerais para mitigações

1. Atualize software, sistemas operacionais, aplicativos e firmware em ativos de rede de TI em tempo hábil. Priorize a correção de vulnerabilidades exploradas conhecidas
2. Use um sistema centralizado de gerenciamento de patches.
3. Substitua o software em fim de vida, ou seja, software que não é mais suportado pelo fornecedor
4. Aplique autenticação multifator (MFA) para todos os usuários, sem exceção.
5. Aplique MFA em todas as conexões VPN. Se o MFA não estiver disponível, exija que os funcionários envolvidos no trabalho remoto usem senhas fortes.
6. Revise, valide ou remova regularmente contas privilegiadas (no mínimo anualmente).
7. Configure o controle de acesso sob o conceito de princípio de privilégio mínimo
8. Configure e proteja adequadamente os dispositivos de rede voltados para a Internet, desabilite portas e protocolos de rede não utilizados ou desnecessários, criptografe o tráfego de rede e desative serviços e dispositivos de rede não utilizados. Implemente medidas de endurecimento adequadas
9. Segmente redes para limitar ou bloquear o movimento lateral controlando o acesso a aplicativos, dispositivos e bancos de dados. Use redes locais virtuais privadas.
10. Monitore continuamente a superfície de ataque e investigue atividades anormais que possam indicar movimento lateral de um agente de ameaça ou malware
11. Reduzir aplicativos de terceiros e compilações exclusivas de sistemas/aplicativos; forneça exceções somente se necessário para dar suporte a funções críticas de negócios. Implementar listagem de permissões de aplicativos.

Fontes de referência:

https://news.sophos.com/en-us https://cve.mitre.org/ https://nvd.nist.gov/vuln/detail/ https://www.cisa.gov/uscert/ncas /alerts/aa22-117a https://www.crowdstrike.com/blog/cve-2020-1472-zerologon-security-advisory/ https://resources.infosecinstitute.com/topic/most-dangerous-vulnerabilities-exploited/ https://www.semperis.com/blog/what-you-need-to-know-about-printnightmare-the-critical-windows-print-spooler-vulnerability/ https://www.sentinelone.com/blog/ Enterprise-security-essentials-top-15-most-routinely-exploited-vulnerabilities-2022/ https://www.trellix.com/en-us/about/newsroom/stories/research/countering-follina-attack-with- network-security-platforms-advanced-detection-features.html