La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) alertó sobre la explotación de fallas de seguridad en sistemas como Fortinet FortiOS SSL-VPN y Zoho ManageEngine ServiceDesk Plus por parte de actores estatales. Estos grupos lograron obtener acceso no autorizado a redes, establecer persistencia y moverse lateralmente dentro de las mismas.
Explotación de vulnerabilidades críticas
Según una alerta conjunta publicada por CISA, junto con la Oficina Federal de Investigaciones (FBI) y la Cyber National Mission Force (CNMF), los actores de amenazas persistentes avanzadas (APT) explotaron la vulnerabilidad CVE-2022-47966. Esta falla permite a un atacante no autenticado apoderarse por completo de instancias susceptibles, obteniendo acceso de nivel root en servidores web.
Además, se identificó el uso del vector de acceso inicial CVE-2022-42475, una vulnerabilidad grave en Fortinet FortiOS SSL-VPN que permitió a los actores acceder al firewall. La explotación de estas fallas facilitó la instalación de malware y la recopilación de credenciales administrativas.
Acceso no autorizado y movilidad lateral
Los atacantes lograron obtener acceso a sistemas mediante el uso de credenciales de cuentas administrativas legítimas y deshabilitadas. Estos permisos les permitieron moverse por la red, instalar herramientas como AnyDesk y ScreenConnect, así como ejecutar Mimikatz para descargarse de credenciales.
Se observó el uso de múltiples sesiones cifradas con TLS a direcciones IP distintas, lo que sugiere la transferencia de datos desde dispositivos firewall. También se detectaron shells web implementados para acceso por puerta trasera.
Intentos fallidos y recomendaciones
Aunque los actores intentaron explotar una vulnerabilidad conocida en Apache Log4j (CVE-2021-44228 o Log4Shell), no lograron acceder al sistema. CISA recomienda a las organizaciones aplicar actualizaciones, controlar el uso de software de acceso remoto y eliminar cuentas innecesarias para evitar su abuso.
Los hallazgos se basan en la respuesta a incidentes realizada por CISA en una organización no identificada del sector aeronáutico entre febrero y abril de 2023. Se ha detectado actividad maliciosa desde el 18 de enero de ese año.