Un grupo de delincuentes informáticos respaldado por un estado violó los sistemas de MITRE en enero de 2024. El incidente se produjo al aprovechar dos vulnerabilidades Zero-Day de la plataforma Ivanti Connect Secure, según ha confirmado el laboratorio de investigación de MITRE.
Descubrimiento del ataque
El incidente fue detectado tras observar actividad sospechosa en el entorno de virtualización, investigación e experimentación de MITRE, conocido como NERVE. Esta red colaborativa no clasificada se utiliza para fines de investigación y desarrollo.
Impacto del ataque
MITRE ha notificado a las partes afectadas sobre la infracción y ha contactado con las autoridades pertinentes. Según el material recopilado durante la investigación, la violación no afectó la red empresarial central de la organización ni los sistemas de sus socios.
Tácticas del ataque
Los actores de amenaza utilizaron una combinación de sofisticados webshells y puertas traseras para mantener el acceso a los sistemas. Además, lograron eludir las defensas de autenticación multifactor (MFA) mediante el uso del secuestro de sesión, lo que les permitió moverse lateralmente por la infraestructura VMware de la red violada utilizando una cuenta de administrador secuestrada.
Vulnerabilidades explotadas
Desde principios de diciembre, las dos vulnerabilidades de seguridad, una omisión de autenticación (CVE-2023-46805) y una inyección de comando (CVE-2024-21887), se han aprovechado para implementar múltiples familias de malware con fines de espionaje.
Relación con amenazas conocidas
Mandiant ha vinculado estos ataques a una amenaza persistente avanzada (APT) que rastrea como UNC5221. Volexity, por su parte, informó haber visto señales de que actores de amenazas patrocinados por el estado chino estaban explotando los dos días cero.
Impacto global
Volexity indicó que los atacantes abrieron puertas traseras en más de 2.100 dispositivos Ivanti, recopilando y robando datos de cuentas y sesiones de las redes violadas. Las víctimas variaron desde pequeñas empresas hasta algunas de las organizaciones más grandes del mundo, incluidas empresas Fortune 500 de diversos sectores industriales.
Respuesta institucional
Debido a la explotación masiva y a la vasta superficie de ataque, CISA emitió la primera directiva de emergencia de este año el 19 de enero, ordenando a las agencias federales que mitiguen los días cero de Ivanti de inmediato.