Una vulnerabilidad de ejecución remota de código (RCE) en Microsoft SharePoint, identificada como CVE-2024-38094, está siendo utilizada por atacantes para obtener acceso inicial a las redes corporativas. La vulnerabilidad fue divulgada recientemente y se encuentra en el Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.
Corrección del parche
Microsoft solucionó la vulnerabilidad el 9 de julio de 2024, como parte del paquete de parches del martes de julio. La empresa marcó el problema como «importante». Aunque CISA incluyó CVE-2024-38094 en su KEV la semana pasada, no proporcionó detalles sobre cómo se está aprovechando la vulnerabilidad en los ataques actuales.
Explotación de la vulnerabilidad
Un informe reciente de Rapid7 revela que los atacantes están explotando CVE-2024-38094 para acceder a un servidor SharePoint vulnerable e instalar una webshell. La investigación indica que el acceso inicial se logró mediante la explotación de la vulnerabilidad dentro del servidor SharePoint local.
Rapid7 afirma que los atacantes utilizaron una prueba de concepto pública de SharePoint para explotar CVE-2024-38094. Aprovechando el acceso inicial, el atacante comprometió una cuenta de servicio de Microsoft Exchange con privilegios de administrador de dominio y obtuvo acceso elevado.
Instalación de software antivirus
El atacante instaló Horoung Antivirus, lo que provocó un conflicto con las defensas de seguridad del sistema. Este software es legal y popular en China, disponible en Microsoft Store. La instalación deshabilitó los servicios de seguridad activos, permitiendo al atacante tener libertad para perseguir objetivos posteriores.
Acciones del atacante
- Utilizó un script (hrword install.bat) para instalar Horoung Antivirus, configurar un servicio personalizado (sysdiag), ejecutar un controlador (sysdiag_win10.sys) y ejecutar HRSword.exe usando un script VBS.
- Esta configuración provocó múltiples conflictos en la asignación de recursos, los controladores cargados y los servicios activos, lo que provocó que los servicios antivirus legítimos de la empresa fallaran y quedaran impotentes.
- En la siguiente etapa, el atacante utilizó Mimikatz para la recolección de credenciales, Fast Reverse Proxy (FRP) para acceso remoto y configuró tareas programadas para persistencia.
- Para evitar la detección, desactivaron Windows Defender, alteraron los registros de eventos y manipularon el registro del sistema en los sistemas comprometidos.
- Se utilizaron herramientas adicionales como everything.exe, Certify.exe y kerbrute para el escaneo de red, la generación de certificados ADFS y los tickets de Active Directory por fuerza bruta.
- Las copias de seguridad de terceros también fueron objeto de destrucción, pero los atacantes fracasaron en sus intentos de comprometerlas.
- Aunque intentar borrar las copias de seguridad es típico en los ataques de ransomware, para evitar una fácil recuperación, Rapid7 no observó el cifrado de datos, por lo que se desconoce el tipo de ataque.
Con la explotación activa en marcha, los administradores de sistemas que no hayan aplicado actualizaciones de SharePoint desde junio de 2024 deben hacerlo lo antes posible.