Vulnerabilidad en Microsoft Exchange

Las recientes vulnerabilidades de ProxyLogon y ProxyShell en servidores de Microsoft Exchange obsoletos permiten a ciberdelincuentes implementar malware Squirrelwaffle en sistemas vulnerables para secuestrar cadenas de correo electrónico.

Después de una investigación sobre una serie de infecciones se identificó un nuevo cargador de malware llamado SquirrelWaffle. Estos ataques fueron documentados por Trend Micro y se cree que comenzaron en septiembre de 2021 a través de documentos de Microsoft Office infectados. https://www.trendmicro.com/en_us/research/21/k/Squirrelwaffle-Exploits-ProxyShell-and-ProxyLogon-to-Hijack-Email-Chains.html

Por ahora, se conoce que los ciberatacantes envían correos electrónicos maliciosos como respuestas a cadenas de correo electrónico preexistentes, en las que se involucró el uso de una cadena de vulnerabilidades CVE-2021-26855 (ProxyLogon), CVE-2021-34473 y CVE-2021-34523 (ProxyShell). Estas vulnerabilidades están asociadass con algunas fallas en los servidores de Microsoft Exchange y pueden permitir que un hacker eleve privilegios y ejecute código arbitrario de forma remota, tomando el control de máquinas vulnerables.

El uso de estos exploits públicos CVE-2021-26855 (ProxyLogon), CVE-2021-34473 y CVE-2021-34523 (ProxyShell) se documentó en tres de los servidores de Microsoft Exchange que se vieron comprometidos en diferentes ataques utilizando el acceso a secuestrar hilos de correo electrónico legítimos y enviar mensajes de spam como respuestas, aumentando así la probabilidad de que los destinatarios desprevenidos abran los correos electrónicos.

Los investigadores agregan que los ciberdelincuentes detrás de la operación no hicieron movimientos laterales ni instalaron malware adicional para permanecer fuera del radar y evitar activar alertas. La distribución de spam mediante esta técnica para llegar a todos los usuarios del dominio interno reducirá la posibilidad de detectar o detener el ataque, ya que los correos electrónicos no podrán filtrar ni poner en cuarentena ninguno de estos correos electrónicos internos. La cadena de ataque involucra mensajes de correo electrónico que contienen un enlace que, cuando se hace clic, descarga un archivo de Microsoft Excel o Word. Al abrir el documento, se le solicita al destinatario que habilite las macros, lo que lleva a la descarga y ejecución del cargador de malware SquirrelWaffle, que se convierte en un punto de entrada para amenazas en etapa tardía como Cobalt Strike y Qbot.

C2USER Recomienda mantener sus servidores Exchange actualizados. Microsoft ha solucionado estas vulnerabilidades de ProxyLogon y ProxyShell, sin embargo no parchear los servidores Exchange invita a los cibercriminales a ingresar a sus sistemas.

Emotet: el “malware más peligroso del mundo”

El regreso del botnet Emotet: el “malware más peligroso del mundo”

El malware Emotet, alguna vez considerado el más extendido del mundo, está de regreso casi 10 meses después de que una operación policial coordinada por Europol y Eurojust desmantelara su infraestructura de comando y control a fines de enero de 2021. Este tipo de malware no ha dejado de evolucionar desde sus inicios, fue catalogado como un troyano bancario, hasta la actualidad, donde su principal función es permitir la descarga y ejecución de otros malware como Trickbot, cifradores de archivos, etc.

Europol calificó a Emotet como el “malware más peligroso del mundo” por su capacidad de actuar como un “abrepuertas” para que los cibercriminales obtengan acceso no autorizado, lo que lo convierte en un precursor de ataques de ransomware. Emotet ha permitido que otras familias de malware como Trickbot, QakBot y Ryuk se propaguen a gran escala. El malware TrickBot se está utilizando como vector de ataque para una nueva versión de Emotet para atacar sistemas que ya han sido infectados por la versión anterior. La última variante toma la forma de un archivo DLL, y la primera aparición se detectó el 14 de noviembre.

El aumento de la actividad del malware ha ido acompañado de un crecimiento en las campañas de malspam, con cadenas de infección que utilizan documentos de Word y Excel habilitados para macros adjuntos a los correos electrónicos.

¿Cómo funciona Emotet?

Emotet es un malware de tipo troyano identificado por primera vez en 2014. Es capaz de robar credenciales de acceso, infectar a los dispositivos con otro tipo de malware, enviar spam por correo a la lista de contactos para autorreplicarse, etc. Como modus operandi, los atacantes utilizan correos electrónicos fraudulentos con adjuntos o enlaces a archivos maliciosos que tienen como objetivo la descarga y ejecución de Emotet, intentando así eludir a los antivirus. Por ello se debe tener especial precaución a la hora de ejecutar cualquier tipo de adjunto o enlace proveniente del correo, incluso los provenientes de contactos conocidos, ya que Emotet puede suplantar su identidad.

Tanto las URLs, como los adjuntos, se pueden analizar por medio de herramientas, como Virus Total o URLhaus. También es aconsejable deshabilitar las macros de terceros por defecto, y nunca habilitarla a no ser que se esté seguro de su legitimidad.

Emotet también utiliza vulnerabilidades conocidas, como EternalBlue/DoublePulsar y ataques de fuerza bruta, por lo que siempre se debe contar con los sistemas actualizados a la última versión disponible y utilizar contraseñas robustas.

¿Cómo prevenir el malware Emotet?

Utilizando las herramientas EmoCheck y haveibeenemotet destinadaa a comprobar si este malware está presente en el dispositivo.

También es aconsejable analizar el sistema con otras herramientas antimalware.

C2USER recomienda tener en cuenta:

Emotet puede realizar múltiples acciones maliciosas, por lo que si algún dispositivo de la empresa se ha visto comprometido por este tipo amenaza es aconsejable llevar a cabo las siguientes medidas:

• Tener precaución al abrir correos que parezcan proceder de una fuente comfiable, ya que pueden contener malware.
• Utilizar una firma electrónica en el correo para una inequívoca identificación.
• Analizar todos los dispositivos de la organización, ya que puede que Emotet haya conseguido infectar a más dispositivos.
• Cambiar las contraseñas tanto de los equipos como de los servicios a los que se podía acceder desde el dispositivo.
• Actualizar todo el software y sistema operativo a la última versión disponible.

Este tipo de ataque está basado en la ingeniería social, es por esto que es muy importante que el usuario conozca la existencia de la amenaza y su funcionamiento, para poder así reconocerlo a tiempo y evitar caer en el engaño, o para eliminarlo en caso de haberse visto afectado.

PREVENCIÓN DE RANSOMWARE

Guía Rápida para la Prevención del Ransomware

Un ataque de ransomware tiene la posibilidad de causar pérdidas temporales o permanentes de información e
interrumpir la actividad ocasionando pérdidas económicas o reputacionales, es por esto que C2USER facilita este documento para que conozca este tipo de malware y cómo protegerse.