Desde agosto de 2023, Microsoft ha detectado una actividad de intrusión dirigida que logra robar con éxito las credenciales de varios clientes. Esta actividad se lleva a cabo mediante ataques de password spray, un método altamente evasivo.
Origen del ataque y actores involucrados
Microsoft ha vinculado la fuente de estos ataques a una red de dispositivos comprometidos denominada CovertNetwork-1658, también conocida como xlogin y Quad7 (7777). La empresa evalúa que las credenciales obtenidas mediante estas operaciones son utilizadas por varios actores de amenazas chinos.
El actor de amenaza chino Storm-0940 utiliza credenciales obtenidas de CovertNetwork-1658. Activo desde al menos 2021, Storm-0940 obtiene acceso inicial mediante rociado de contraseñas y ataques de fuerza bruta, o explotando aplicaciones y servicios de borde de la red.
Se sabe que Storm-0940 ataca a organizaciones en América del Norte y Europa, incluidos centros de estudios, organismos gubernamentales y no gubernamentales, bufetes de abogados, bases industriales de defensa y otros.
¿Qué es CovertNetwork-1658?
Microsoft identifica a CovertNetwork-1658 como una red de enrutadores comprometidos. La mayoría de los dispositivos que conforman esta red son fabricados por TP-Link. Microsoft utiliza el término «CovertNetwork» para referirse a una colección de direcciones IP de salida que consisten en dispositivos comprometidos o alquilados que pueden ser utilizados por uno o más actores de amenazas.
CovertNetwork-1658 se refiere específicamente a una colección de direcciones IP de salida que pueden ser utilizadas por uno o más actores de amenazas chinos. Microsoft evalúa que un actor ubicado en China estableció y mantiene esta red, explotando una vulnerabilidad en los enrutadores para obtener la capacidad de ejecutar código remoto.
Actividad posterior al ataque en routers comprometidos
Después de obtener acceso con éxito a un router vulnerable, el actor de amenaza sigue varios pasos para preparar el equipo para operaciones de rociado de contraseñas:
- Descargar el binario Telnet desde un servidor FTP remoto.
- Descargar el binario xlogin backdoor desde un servidor FTP remoto.
- Utilizar los binarios descargados para iniciar una shell de comandos con control de acceso en el puerto TCP 7777.
- Conectarse y autenticarse en el backdoor xlogin que escucha en el puerto TCP 7777.
- Descargar un binario de servidor SOCKS5 al enrutador.
- Iniciar el servidor SOCKS5 en el puerto TCP 11288.
Se observa que CovertNetwork-1658 lleva a cabo sus campañas de rociado de contraseñas mediante esta red proxy para garantizar que los intentos se originen desde dispositivos comprometidos.
Actividad de rociado de contraseñas desde la infraestructura de CovertNetwork-1658
Microsoft ha observado múltiples campañas de rociado de contraseñas que se originan en la infraestructura de CovertNetwork-1658. En estas campañas, CovertNetwork-1658 envía una cantidad muy pequeña de intentos de inicio de sesión a muchas cuentas en una organización de destino.
La infraestructura de CovertNetwork-1658 es difícil de monitorear debido a las siguientes características:
- El uso de direcciones IP SOHO comprometidas.
- El uso de un conjunto rotativo de direcciones IP en un momento dado. Los actores tenían miles de direcciones IP disponibles a su disposición. El tiempo de actividad promedio de un nodo CovertNetwork-1658 es de aproximadamente 90 días.
- El proceso de rociado de contraseñas de bajo volumen; por ejemplo, el monitoreo de múltiples intentos fallidos de inicio de sesión desde una dirección IP o una cuenta no detectará esta actividad.
Históricamente, Microsoft ha observado un promedio de 8.000 dispositivos comprometidos que participan activamente en la red CovertNetwork-1658 en un momento dado. En promedio, alrededor del 2, por ciento de estos dispositivos realizan rociado de contraseñas. Cualquier actor de amenazas que utilice la infraestructura CovertNetwork-1658 podría realizar campañas de spray a mayor escala y aumentar en gran medida la probabilidad de compromiso exitoso de credenciales y acceso inicial a múltiples organizaciones en un corto período de tiempo.
Actividad observada vinculada a Storm-0940
Se han observado numerosos casos en los que Storm-0940 ha obtenido acceso inicial a organizaciones objetivo utilizando credenciales válidas obtenidas a través de las operaciones de rociado de contraseñas de CovertNetwork-1658.
Después de obtener acceso con éxito a un entorno víctima, en algunos casos se ha observado que Storm-0940:
- Utiliza herramientas de escaneo y volcado de credenciales para moverse lateralmente dentro de la red.
- Intenta acceder a dispositivos de red e instalar herramientas proxy y troyanos de acceso remoto (RAT) para la persistencia.
- Intenta exfiltrar datos.
Recomendaciones
Las organizaciones pueden defenderse contra la difusión de contraseñas mediante la creación de una higiene de credenciales y el fortalecimiento de las identidades en la nube. Microsoft recomienda las siguientes mitigaciones para reducir el impacto de esta amenaza:
- Eduque a los usuarios sobre la importancia de la higiene de credenciales y evite la reutilización de contraseñas.
- Aplique la autenticación multifactor (MFA) en todas las cuentas; elimine a los usuarios excluidos de MFA y exija estrictamente MFA en todos los dispositivos, en todas las ubicaciones y en todo momento.
- Considere la posibilidad de realizar la transición a un método de autenticación principal sin contraseña, como Azure MFA, certificados o Windows Hello para empresas.
- Asegure los puntos de conexión del Protocolo de escritorio remoto (RDP) o de Windows Virtual Desktop con MFA para protegerse contra la difusión de contraseñas o los ataques de fuerza bruta.
- Habilite los métodos de autenticación sin contraseña (por ejemplo, Windows Hello, FIDO o Microsoft Authenticator) para las cuentas que admitan la autenticación sin contraseña. Para las cuentas que aún requieren contraseñas, use aplicaciones de autenticación como Microsoft Authenticator para MFA.
- Deshabilite la autenticación heredada.
- Utilice una solución de seguridad de identidad basada en la nube para identificar y detectar amenazas o identidades comprometidas.
- Desactive las cuentas obsoletas o sin uso.
- Restablezca las contraseñas de las cuentas que hayan sido blanco de un ataque de rociado de contraseñas. Si una cuenta objetivo tenía permisos a nivel de sistema, es posible que se justifique una investigación más exhaustiva.
- Implemente Azure Security Benchmark y las prácticas recomendadas generales para proteger la infraestructura de identidad, incluidas las siguientes:
- Cree políticas de acceso condicional para permitir o denegar el acceso al entorno según criterios definidos.
- Bloquee la autenticación heredada con Azure AD mediante el acceso condicional. Los protocolos de autenticación heredados no tienen la capacidad de aplicar MFA, por lo que bloquear dichos métodos de autenticación evitará que los atacantes que roban contraseñas aprovechen la falta de MFA en esos protocolos.
- Habilite el bloqueo de la extranet del proxy de aplicación web de AD FS para proteger a los usuarios de posibles ataques de fuerza bruta contra contraseñas.
- Proteja las cuentas con higiene de credenciales:
- Ponga en práctica el principio de privilegio mínimo y audite la actividad de las cuentas privilegiadas en sus entornos de Azure AD para ralentizar y detener a los atacantes.
- Implemente Azure AD Connect Health para ADFS. Esto captura los intentos fallidos, así como las direcciones IP registradas en los registros de ADFS para las solicitudes incorrectas a través del informe de IP riesgosas.
- Use la protección de contraseñas de Azure AD para detectar y bloquear las contraseñas débiles conocidas y sus variantes.
- Active la protección de identidad en Azure AD para supervisar los riesgos basados en la identidad y crear políticas para los inicios de sesión riesgosos.
- Educa a los usuarios sobre los intentos de phishing y los ataques de fatiga de MFA. Anima a los usuarios a denunciar solicitudes de autenticación de MFA no solicitadas.
- Revisa tus políticas de detección de anomalías en Defender for Cloud Apps en Políticas de Microsoft 365 Defender.