Se ha detectado una actividad maliciosa en la que atacantes están intentando forzar contraseñas de cuentas altamente privilegiadas en servidores de contabilidad expuestos pertenecientes a la empresa y software FOUNDATION, así como en servidores Microsoft SQL (MSSQL) utilizados comúnmente en la industria de la construcción.
Detalles del incidente
La actividad fue detectada por primera vez el 14 de septiembre de 2024 por Huntress, una empresa especializada en ciberseguridad. Los investigadores observaron que los atacantes están aprovechando servicios expuestos para acceder a las redes corporativas.
Los ataques se centran en cuentas privilegiadas configuradas con credenciales predeterminadas no modificadas por los usuarios. Huntress ha identificado infracciones activas en sectores como plomería, HVAC, concreto y otras empresas subindustriales.
Configuración de Microsoft SQL
El software FOUNDATION incluye un servidor MSSQL que puede configurarse para ser accesible públicamente a través del puerto TCP 4243. Esta configuración permite la conexión desde una aplicación móvil complementaria, pero también expone el servidor a ataques externos.
MSSQL tiene por defecto una cuenta de administrador llamada «sa», mientras que FOUNDATION añadió una segunda cuenta denominada «dba». Los usuarios que no hayan modificado las contraseñas predeterminadas son susceptibles a ataques. Incluso aquellos que las hayan cambiado, pero con contraseñas débiles, pueden verse afectados mediante la fuerza bruta.
Ataques de fuerza bruta
Huntress observó ataques muy agresivos contra estos servidores. En algunos casos, los atacantes realizaron hasta 35.000 intentos en un solo host durante una hora antes de lograr adivinar la contraseña.
Acceso y comandos ejecutados
Una vez que los atacantes obtienen acceso, habilitan la función MSSQL «xp_cmdshell», que permite la ejecución de comandos en el sistema operativo a través de una consulta SQL. Por ejemplo: EXEC xp_cmdshell 'ipconfig'.
Dos comandos observados son «ipconfig» y «wmic». El primero se utiliza para recuperar detalles de configuración de red, mientras que el segundo extrae información sobre hardware, sistema operativo y cuentas de usuario.
Impacto en la infraestructura
La investigación de Huntress reveló que 500 hosts ejecutan el software de contabilidad específico. De estos, 33 exponen públicamente bases de datos MSSQL con credenciales predeterminadas.
Respuesta de FOUNDATION
Foundation indicó que el problema solo afecta a la versión local de su aplicación y no al producto basado en la nube. El proveedor también señaló que no todos los servidores tienen el puerto 4243 abierto, ni todas las cuentas utilizan las mismas credenciales predeterminadas.
Recomendaciones
Huntress recomienda a los administradores de FOUNDATION y MSSQL que roten las credenciales de las cuentas y eviten exponer públicamente el servidor MSSQL si no es necesario.