El grupo de ciberespionaje Winter Vivern ha estado utilizando una vulnerabilidad de día cero en el servidor de correo web Roundcube desde el 11 de octubre de 2023. Esta vulnerabilidad, asignada la identificación CVE-2023-5631, permite a los atacantes cargar código JavaScript arbitrario en el contexto del navegador del usuario sin necesidad de interacción manual por parte de este.
Detalles de la vulnerabilidad
La explotación se lleva a cabo mediante el envío de correos electrónicos especialmente diseñados. En esta campaña, los mensajes se enviaron desde la dirección team.managment@outlook[.]com, con un asunto que decía «Get started in your Outlook». La vulnerabilidad es diferente a CVE-2020-35730, otra vulnerabilidad XSS en Roundcube que también fue explotada por el grupo.
Objetivos y alcance
Según los datos de telemetría de ESET, la campaña se dirigió a servidores de Roundcube Webmail pertenecientes a entidades gubernamentales y a un think tank, todos ellos ubicados en Europa. Winter Vivern ha estado atacando otros servidores de correo electrónico de entidades gubernamentales al menos desde 2022.
Divulgación y parche
La cronología de la divulgación de la vulnerabilidad es la siguiente:
- 2023-10-12: ESET Research informó de la vulnerabilidad al equipo de Roundcube.
- 2023-10-14: El equipo de Roundcube respondió y reconoció la vulnerabilidad.
- 2023-10-14: El equipo de Roundcube parcheó la vulnerabilidad.
- 2023-10-16: El equipo de Roundcube publicó actualizaciones de seguridad para solucionar la vulnerabilidad (1.6.4, 1.5.5 y 1.4.15).
- 2023-10-18: ESET CNA publica un CVE para la vulnerabilidad CVE-2023-5631.
- 2023-10-25: Publicación del blog de ESET Research.
Historia y contexto del grupo Winter Vivern
Winter Vivern es un grupo de ciberespionaje revelado por primera vez por DomainTools en 2021. Se cree que lleva activo al menos desde 2020, con objetivos principalmente en gobiernos de Europa y Asia Central. Para comprometer a sus objetivos, el grupo utiliza documentos maliciosos, sitios web de phishing y un backdoor PowerShell personalizado.
Se cree, con poca confianza, que Winter Vivern está vinculado a MoustachedBouncer, un sofisticado grupo alineado con Bielorrusia sobre el que se publicó datos por primera vez en agosto de 2023.
Vulnerabilidades anteriores y otros ataques
Winter Vivern ha estado atacando servidores de correo electrónico Zimbra y Roundcube pertenecientes a entidades gubernamentales al menos desde 2022. En particular, el grupo explotó CVE-2020-35730, otra vulnerabilidad XSS en Roundcube, en agosto y septiembre de 2023.
Sednit (también conocido como APT28) también está explotando esta antigua vulnerabilidad XSS en Roundcube, a veces contra los mismos objetivos.
Recomendaciones
ESET Research recomienda actualizar Roundcube Webmail a la última versión disponible lo antes posible. Se recomienda actualizar de inmediato cualquier versión de RoudCube.