CISA: los hackers estatales chinos están explotando errores de F5, Citrix, Pulse Secure y Exchange

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha publicado hoy un aviso de seguridad advirtiendo sobre una ola de ataques llevados a cabo por grupos de piratería afiliados al Ministerio de Seguridad del Estado de China (MSS). CISA dice que durante el año pasado, los piratas informáticos chinos han escaneado las redes del gobierno de EE. UU. En busca de la presencia de dispositivos de red populares y luego han utilizado exploits para vulnerabilidades recientemente reveladas para afianzarse en redes sensibles. La lista de dispositivos específicos incluye equilibradores de carga F5 Big-IP, dispositivos Citrix y Pulse Secure VPN y servidores de correo electrónico de Microsoft Exchange.
Para cada uno de estos dispositivos, se han revelado públicamente vulnerabilidades importantes durante los últimos 12 meses, como CVE-2020-5902, CVE-2019-19781, CVE-2019-11510 y CVE-2020-0688, respectivamente. Según una tabla que resume la actividad china dirigida a estos dispositivos publicada hoy por CISA, algunos ataques han tenido éxito y han permitido a los piratas informáticos chinos hacerse un hueco en las redes federales. Estos ataques no son nuevos en sí.
ZDNet informó el año pasado que los piratas informáticos del estado chino se habían dirigido a los servidores VPN Pulse Secure y Fortinet menos de un mes después de que las vulnerabilidades se hicieran públicas. Además, los piratas informáticos chinos no son los únicos que se dirigen a estos dispositivos de red en particular. Los dispositivos enumerados anteriormente también han sido atacados por actores estatales iraníes, según un informe del sector privado de ciberseguridad y una alerta de ciberseguridad publicada por el FBI el mes pasado.
Un grupo iraní ha comprometido masivamente este tipo de dispositivos y luego ha proporcionado acceso a otros grupos iraníes, lo que les permite seleccionar las redes que querían comprometer para las operaciones de recopilación de inteligencia. Los dispositivos comprometidos que no fueron seleccionados luego se pusieron a la venta en foros clandestinos de piratería, según un informe de Crowdstrike. La alerta CISA advierte al sector privado y las agencias gubernamentales de Estados Unidos que parcheen los dispositivos F5, Citrix, Pulse Secure y Microsoft Exchange.
Sin embargo, la alerta también advierte que los piratas informáticos chinos están empleando un amplio espectro de otros métodos de intrusión. Estos también incluyen el uso de correos electrónicos de spear-phishing, un ataque clásico empleado por los actores estatales chinos, y el uso de ataques de fuerza bruta que aprovechan las credenciales débiles o predeterminadas. Una vez que los piratas informáticos chinos están dentro de las redes objetivo, también suelen implementar herramientas comerciales y de código abierto para moverse lateralmente a través de las redes y exfiltrar datos.
Esto incluye el uso de herramientas legítimas de prueba de penetración como Cobalt Strike y Mimikatz. Cuando los ataques apuntan a sistemas web públicos, como VPN, servidores web y de correo electrónico, CISA dijo que a menudo detectaba a los piratas informáticos chinos implementando el shell web China Chopper, una herramienta común que han utilizado durante casi una década. Los funcionarios de CISA recomiendan que los equipos de seguridad de las empresas privadas y del sector privado y las agencias gubernamentales lean su informe, tomen nota de las tácticas, técnicas y procedimientos (TTP) comunes utilizados por los actores estatales chinos, apliquen parches a los dispositivos e implementen las reglas de detección en consecuencia.
pags VER GALERIA COMPLETA.