Se ha identificado una campaña maliciosa que explota una vulnerabilidad crítica en la implementación PHP-CGI de PHP en sistemas operativos Windows. Esta vulnerabilidad, catalogada como CVE-2024-4577, permite a los atacantes ejecutar código remoto (RCE) y obtener acceso inicial a las máquinas afectadas.
Vulnerabilidades afectadas
Las versiones de PHP vulnerables son aquellas menores que 8.3.8, 8.2.20 y 8.1.29. La explotación se lleva a cabo mediante inyección de argumentos, lo que permite la ejecución de código arbitrario en servidores remotos.
Divulgación responsable y correcciones
La vulnerabilidad fue divulgada responsablemente el 7 de mayo de 2024 por parte de DEVCORE. Se han lanzado parches para las versiones 8.3.8, 8.2.20 y 8.1.29 de PHP. Además, se ha confirmado que todas las instalaciones de XAMPP en Windows son vulnerables de forma predeterminada.
Metodología del ataque
Los actores de amenazas utilizan complementos del kit Cobalt Strike llamados 'TaoWu' para realizar actividades de explotación posteriores. El ataque comienza con la ejecución de scripts de PowerShell que cargan un shellcode HTTP inverso, otorgando acceso remoto persistente al sistema.
Acceso y movilidad lateral
Una vez obtenido el acceso inicial, los atacantes llevan a cabo tareas de reconocimiento, escalamiento de privilegios y desplazamiento lateral. Para ello utilizan herramientas como JuicyPotato, RottenPotato, SweetPotato, Fscan y Seatbelt. Se establece persistencia mediante modificaciones del Registro de Windows, tareas programadas y servicios personalizados.
Eliminación de rastros
Para mantener el sigilo, los atacantes borran los registros de eventos utilizando comandos wevtutil. Esto elimina los rastros de sus acciones en los registros de seguridad, sistema y aplicaciones de Windows.
Robo de credenciales
Los delincuentes ejecutan comandos Mimikatz para volcar y exfiltrar contraseñas y hashes NTLM almacenados en la memoria de la máquina afectada. El análisis de los servidores de comando y control (C2) revela que el actor dejó listados de directorios accesibles a través de Internet, lo que expone las herramientas y marcos de trabajo adversarios alojados en servidores en la nube de Alibaba.
Herramientas utilizadas
- Browser Exploitation Framework (BeEF): software de pruebas de penetración para ejecutar comandos dentro del contexto del navegador.
- Viper C2: framework modular que facilita la ejecución remota de comandos y la generación de cargas útiles de shell inverso de Meterpreter.
- Blue-Lotus: framework de ataque de XSS y webshell de JavaScript.
Los objetivos principales de esta actividad maliciosa son empresas pertenecientes a sectores como tecnología, telecomunicaciones, entretenimiento, educación y comercio electrónico, principalmente ubicadas en Japón.