Se han reportado múltiples fallas de seguridad que afectan a diversos componentes de infraestructura tecnológica, incluyendo firewalls Juniper, servidores Openfire y Apache RocketMQ. Estos problemas han sido explotados activamente en la naturaleza según informes recientes.
Ataques contra dispositivos Juniper
La Fundación ShadowServer ha señalado que se están observando intentos de explotación desde múltiples IP para el CVE-2023-36844 (y amigos) dirigidos al punto final /webauth_operation.php. Estos ataques coinciden con la disponibilidad de una prueba de concepto (PoC). Los problemas identificados como CVE-2023-36844, CVE-2023-36845, CVE-2023-36846 y CVE-2023-36847 residen en el componente J-Web de Junos OS en Juniper SRX y EX Series. Un atacante no autenticado basado en la red podría encadenarlos para ejecutar código arbitrario en instalaciones susceptibles.
Los parches para estas fallas se lanzaron el 17 de agosto de 2023, una semana después de que watchTowr Labs publicara una PoC combinando CVE-2023-36846 y CVE-2023-36845. Actualmente hay más de 8.200 dispositivos Juniper con sus interfaces J-Web expuestas a Internet, la mayoría ubicados en Corea del Sur, Estados Unidos, Hong Kong, Indonesia, Turquía e India.
Botnet Kinsing explota vulnerabilidad de Openfire
Otra vulnerabilidad que ha sido aprovechada por actores de amenazas es CVE-2023-32315, un error path traversal en la consola administrativa de Openfire. Esta falla permite a un usuario no autorizado explotar el entorno de configuración de Openfire no autenticado dentro de una configuración establecida.
Se ha observado que los actores asociados con la botnet Kinsing utilizan esta vulnerabilidad para crear un nuevo usuario administrador y cargar un archivo JAR, que contiene un archivo llamado cmd.jsp, el cual actúa como una web shell para colocar y ejecutar el malware y un minero de criptomonedas.
Aqua encontró 6.419 servidores conectados a Internet con el servicio Openfire en ejecución, la mayoría ubicados en China, Estados Unidos y Brasil.
Vulnerabilidad de Apache RocketMQ atacada por DreamBus Botnet
Se ha observado que una versión actualizada de la botnet DreamBus explota una vulnerabilidad crítica en los servidores RocketMQ. El CVE-2023-33246 es una falla de ejecución remota de código que afecta a las versiones 5.1.0 e inferiores de RocketMQ, permitiendo a un atacante no autenticado ejecutar comandos con el mismo nivel de acceso que el proceso de usuario del sistema.
Desde el 19 de junio de 2023, se han detectado ataques que explotan esta vulnerabilidad para implementar un script bash llamado «reketed», que actúa como descargador de la botnet DreamBus desde un servicio oculto TOR.
DreamBus es un malware basado en Linux, una variante de SystemdMiner, diseñado para extraer criptomonedas. Como parte de su rutina de instalación, el malware finaliza procesos y elimina archivos asociados con versiones obsoletas de sí mismo, estableciendo la persistencia mediante una tarea cron.
Explotación de VPN SSL de Cisco ASA para implementar Akira Ransomware
Rapid7 ha emitido una advertencia sobre un aumento en la actividad de amenazas que apunta a dispositivos Cisco ASA SSL VPN para implementar el ransomware Akira. Algunos casos han implicado el uso de relleno de credenciales, pero otros parecen ser el resultado de ataques dirigidos de fuerza bruta a dispositivos ASA donde la autenticación multifactor (MFA) no estaba habilitada o no se aplicaba para todos los usuarios.
Cisco reconoció los ataques y señaló que los actores de amenazas también podrían estar comprando credenciales robadas de la web. A principios de febrero, se observó a un corredor de acceso inicial conocido como Bassterlord vendiendo una guía sobre cómo irrumpir en redes corporativas en foros clandestinos.
Rapid7 indicó que el autor afirmó haber comprometido 4.865 servicios VPN SSL de Cisco y 9.870 servicios VPN de Fortinet con la prueba de combinación de nombre de usuario/contraseña.
Las revelaciones llegan cuando los dispositivos Citrix NetScaler ADC y Gateway sin parches corren un mayor riesgo de sufrir ataques oportunistas por parte de actores de ransomware que utilizan una falla crítica en los productos para eliminar shells web y otras cargas útiles.