Los actores de amenazas están explotando activamente una vulnerabilidad de IIS que data de hace seis años, según la Unidad de Respuesta a Amenazas (TRU) de eSentire. Esta vulnerabilidad afecta a Progress Telerik UI para ASP.NET AJAX y permite a los atacantes obtener acceso remoto a los sistemas.
Vulnerabilidad identificada como CVE-2019-18935
La vulnerabilidad, conocida como CVE-2019-18935, permite la ejecución de código arbitrario en servidores vulnerables. Esta situación representa un riesgo significativo para las organizaciones que no han actualizado sus sistemas.
Metodología de explotación
Los actores de amenazas utilizan el proceso w3wp.exe, asociado al IIS, para cargar una shell inversa y ejecutar comandos posteriores. Los analistas observaron que los shells inversos se colocan en el directorio C:\Windows\Temp.
El proceso de explotación inicia con la envío de una solicitud específica al servidor IIS para verificar si el controlador de carga de archivos está disponible. Una vez confirmado, los atacantes emplean una prueba de concepto (PoC) personalizada para cargar y ejecutar un shell remoto.
La shell inversa es un aplicativo .NET en modo mixto que se conecta a un servidor de comando y control (C2) ubicado en la dirección 213.136.75[.]130, utilizando Windows Sockets.
Acciones posteriores al acceso remoto
Después de establecer la conexión, los atacantes ejecutan comandos para recopilar información del sistema, incluida la enumeración de usuarios mediante net.exe y net1.exe. Se detectó también la implementación de la herramienta de escalamiento de privilegios de código abierto JuicyPotatoNG, junto con varios archivos por lotes cuyo propósito no está claro.
La vulnerabilidad CVE-2019-18935 sigue siendo un riesgo para las organizaciones que no han aplicado las actualizaciones necesarias. La explotación de esta vulnerabilidad demuestra la importancia de mantener los sistemas actualizados y protegidos contra amenazas persistentes.