Un afiliado del grupo ransomware ALPHV/BlackCat, identificado como UNC4466, fue observado explotando tres vulnerabilidades en la solución Veritas Backup para obtener acceso inicial a las redes objetivo. A diferencia de otros afiliados de ALPHV, este grupo no se basa en credenciales robadas para el acceso inicial.
Exploits contra Veritas Backup
Los investigadores de Mandiant observaron por primera vez a UNC4466 atacando problemas de Veritas el 22 de octubre de 2022. La banda explotó tres vulnerabilidades en la solución Veritas Backup Exec, todas relacionadas con el esquema de autenticación SHA.
- CVE-2021-27876: Permite a un atacante obtener acceso no autorizado y ejecutar comandos del protocolo de gestión de datos en la conexión autenticada. (CVSS: 8.1)
- CVE-2021-27877: Un problema en versiones anteriores a 21.2 de Veritas Backup Exec permite el acceso no autorizado y la ejecución de comandos privilegiados. (CVSS: 8.2)
- CVE-2021-27878: Similar al CVE-2021-27876, pero con un impacto mayor en el sistema. (CVSS: 8.8)
Las tres vulnerabilidades fueron corregidas con la versión 21.2 lanzada en marzo de 2021. Sin embargo, muchos puntos finales aún no se han actualizado, lo que deja expuestas más de 8.500 instalaciones de Veritas Backup Exec a Internet.
Acceso y persistencia
UNC4466 utilizó el módulo Metasploit exploit/multi/veritas/beagent_sha_auth_rce para obtener acceso a un servidor Windows expuesto a Internet que ejecutaba la versión 21.0 de Veritas Backup Exec. Posteriormente, se invocó el módulo de persistencia de Metasploit para mantener el acceso durante la intrusión.
Una vez conseguido el acceso a la red del objetivo, el grupo utilizó herramientas legítimas como Advanced IP Scanner y ADRecon para realizar un reconocimiento interno. Luego descargó herramientas adicionales mediante el servicio de Background Intelligent Transfer Service (BITS), incluyendo LaZagne, Ligolo, WinSW, RClone y finalmente el ransomware ALPHV.
Técnicas de comunicación y evasión
El grupo utilizó túneles SOCKS5 para comunicarse con los sistemas comprometidos. Para esta técnica empleó herramientas como Ligolo y RevSocks. Recopiló credenciales en texto claro utilizando herramientas como Mimikatz, LaZagne y NanoDump.
Para evadir la detección, el grupo borró los registros de eventos y desactivó la capacidad de supervisión en tiempo real de Microsoft Defender mediante el cmdlet powershell.exe Set-MpPreference -DisableRealtimeMonitoring 1 -ErrorAction SilentlyContinue.
El informe incluye indicadores de compromiso (IoC) para esta amenaza. La explotación de estos fallos puede ser fácil utilizando Metasploit, que tiene un módulo específico desde septiembre de 2022.