AGÊNCIA DE CIBERSEGURANÇA DOS EUA (CISA) ALERTA PARA A GRANDE QUANTIDADE DE SERVIDORES MICROSOFT EXCHANGE VULNERÁVEIS

 

A U.S. Cybersecurity and Infrastructure Security Agency (CISA), está alertando sobre tentativas de exploração ativa que aproveitam a linha mais recente de vulnerabilidades "ProxyShell" do Microsoft Exchange corrigidas no início de maio, incluindo a implantação de ransomware LockFile em sistemas comprometidos.

Identificadas como CVE-2021-34473, CVE-2021-34523 e CVE-2021-31207, as vulnerabilidades permitem que os atacantes ignorem os controles ACL e elevem os privilégios no back-end do Exchange PowerShell, permitindo efetivamente que o invasor execute a execução remota de código não autenticado. Enquanto os dois primeiros foram resolvidos pela Microsoft em 13 de abril, um patch para o CVE-2021-31207 foi enviado como parte das atualizações do Patch Tuesday. 

Demonstrado originalmente no concurso de hacking Pwn2Own, em abril deste ano, o ProxyShell faz parte de um trio mais amplo de cadeias de exploração descobertas pelo pesquisador de segurança do DEVCORE Orange Tsai que inclui ProxyLogon e ProxyOracle, o último dos quais diz respeito a duas falhas de execução remota de código que poderiam ser utilizadas para recuperar a senha de um usuário em formato de texto simples.

Agora, de acordo com pesquisadores do Huntress Labs, pelo menos cinco estilos distintos de web shells foram observados como implantados em servidores Microsoft Exchange vulneráveis, com mais de 100 incidentes relatados relacionados à exploração entre 17 e 18 de agosto. para os servidores comprometidos, mas não está claro exatamente quais são os objetivos ou até que ponto todas as falhas foram utilizadas. Mais de 140 web shells foram detectados em nada menos que 1.900 servidores Exchanger não corrigidos até o momento. 

RANSOMWARE PETITPOTAM UTILIZADO PARA ATAQUES EM SERVIDORES WINDOWS DOMAIN CONTROLLERS

Pelo menos um agente de ameaça de ransomware começou a aproveitar o método de ataque de retransmissão PetitPotam NTLM para assumir o controle de servidores Windows, com a função de domain controller, em redes distribuídas ao redoro do mundo. Por trás dos ataques, pode estar envolvido a organização cibercriminosa LockFile o qual vem explorando falhas em servidores Microsoft Exchange com ProyShell.

Ataques LockFile foram registrados principalmente nos EUA e na Ásia, suas vítimas incluindo organizações nos seguintes setores: serviços financeiros, manufatura, engenharia, jurídico, serviços comerciais, viagens e turismo. 

Pesquisadores de segurança da Symantec, uma divisão da Broadcom, disseram que o acesso inicial do atacante à rede é por meio de servidores Microsoft Exchange, mas o método exato permanece desconhecido no momento. Em seguida, o invasor assume o controlador de domínio da organização, aproveitando o novo método PetitPotam, que força a autenticação para uma retransmissão NTLM remota sob o controle de LockFile.

Descoberto pelo pesquisador de segurança Gilles Lionel em julho, o PetitPotam tem algumas variações que a Microsoft sempre tenta bloquear. Neste ponto, as mitigações e atualizações oficiais não bloqueiam completamente o vetor de ataque PetitPotam.

O método de ataque do LockFile parece contar com um código disponível publicamente para explorar a variante PetitPotam original (identificada como CVE-2021-36942).

Depois que os invasores assumem, com êxito, o controlador de domínio, eles têm efetivamente o controle de todo o domínio do Windows e podem executar qualquer comando que desejarem.

A Symantec analisou a cadeia de ataques do LockFile e observou que os atacantes normalmente passam vários dias na rede antes de acionarem o malware de criptografia dos arquivos. Ao comprometer o servidor Exchange da vítima, o invasor executa um comando do PowerShell para baixar um exploit para a máquina local.

No último estágio do ataque, 20 a 30 minutos antes de implantar o ransomware, o ator da ameaça passa a assumir o controlador de domínio instalando no servidor Exchange comprometido o exploit PetitPotam e dois arquivos:

• active_desktop_render.dll
• active_desktop_launcher.exe

Os pesquisadores afirmam que, quando acionada, a DLL tenta carregar e descriptografar um arquivo chamado “desktop.ini” que contém o código malicioso. A Symantec não recuperou o arquivo para análise, mas afirma que uma operação bem-sucedida termina com a execução do shellcode.

VMWARE ALERTA SOBRE FALHA CRÍTICA NO vCENTER SERVER

 

A VMware alerta os clientes a corrigir uma vulnerabilidade de Remote Code Execution (RCE) crítica no plug-in do Virtual SAN Health Check, afetando todas as implantações do vCenter Server.

"Essas atualizações corrigem uma vulnerabilidade crítica de segurança e precisam ser consideradas imediatamente", disse Bob Plankers, arquiteto de marketing técnico da VMware.

"Esta vulnerabilidade pode ser usada por qualquer pessoa que possa acessar o vCenter Server pela rede para obter acesso, independentemente de você usar ou não o vSAN."

O vCenter Server é uma solução de gerenciamento de servidor que ajuda os administradores de TI a gerenciar máquinas virtuais e hosts virtualizados em ambientes corporativos por meio de um único console.

Nesta era de ransomware, é mais seguro presumir que um invasor já está dentro da rede em algum lugar, em um desktop, e talvez até mesmo no controle de uma conta de usuário, razão pela qual recomendamos fortemente declarar uma mudança de emergência e aplicar patches assim que possível. - VMware

A vulnerabilidade relatada em particular com uma pontuação básica CVSSv3 de 9,8 em 10 está sendo notificada como CVE-2021-21985 e afeta o vCenter Server 6.5, 6.7 e 7.0, de acordo com o comunicado de segurança da VMware.

Essa falha de segurança foi relatada por Ricter Z da 360 Noah Lab e pode ser explorada remotamente por atacantes não autenticados em ataques de baixa complexidade que não requerem interação do usuário.

"O vSphere Client (HTML5) contém uma vulnerabilidade de execução remota de código devido à falta de validação de entrada no plug-in do Virtual SAN Health Check, que é habilitado por padrão no vCenter Server", explica VMware.

"Um agente malicioso com acesso de rede à porta 443 pode explorar esse problema para executar comandos com privilégios irrestritos no sistema operacional subjacente que hospeda o vCenter Server."

De acordo com a VMware, o vulnerável "plug-in Virtual SAN Health Check é habilitado por padrão em todas as implantações do vCenter Server, esteja ou não o vSAN sendo usado"

A empresa também corrigiu hoje um problema de mecanismo de autenticação de gravidade média notificada como CVE-2021-21986 e afetando o Virtual SAN Health Check, Site Recovery, vSphere Lifecycle Manager e plug-ins de disponibilidade do VMware Cloud Director.

A VMware fornece medidas alternativas projetadas para remover o vetor de ataque e a possibilidade de exploração, definindo os plug-ins afetados como "incompatíveis".

"Desativar um plugin de dentro da interface do usuário não impede a exploração", diz VMware. "As ações a seguir devem ser executadas nos nós ativos e passivos em ambientes que executam o vCenter High Availability (VCHA)."

As etapas necessárias para desabilitar os plug-ins do vCenter Server nos dispositivos virtuais baseados em Linux (vCSA) e nas implantações do vCenter Server baseadas no Windows, configurando-os como incompatíveis, podem ser encontradas aqui.

A empresa também oferece aos clientes as melhores práticas de segurança básicas para o vSphere no vSphere Security Configuration Guide.

RELATÓRIO CONJUNTO ENTRE FBI E CISA REVELAM NOVAS AÇÕES PARA EXPLORAÇÃO DE VULNERABILIDADES NO FORTIOS DA FORTNET

 

O Federal Bureau of Investigation (FBI) e a CISA (Cybersecurity and Infrastructure Security Agency) lançaram um Joint Cybersecurity Advisory (CSA) para alertar os usuários e administradores sobre a probabilidade de que agentes de ameaças persistentes avançadas (APT) estejam explorando ativamente vulnerabilidades conhecidas do Fortinet FortiOS CVE-2018-13379, CVE- 2020-12812 e CVE-2019-5591. Os atacantes da APT podem usar essas vulnerabilidades ou outras técnicas de exploração comuns para obter acesso inicial a vários serviços governamentais, comerciais e de tecnologia. Obter o acesso inicial pré-posiciona os atacantes do APT para conduzir ataques futuros.

A CISA incentiva os usuários e administradores a revisar o CSA conjunto AA21-092A: Atacantes APT exploram vulnerabilidades para obter acesso inicial para ataques futuros e implementar as mitigações recomendadas.

 

 Mitigações

As seguintes recomendações devem ser levadas em consideração para mitigação dos ataques:

• Corrigir imediatamente os CVEs 2018-13379, 2020-12812 e 2019-5591. 
• Se o FortiOS não for usado pela sua organização, adicione os principais arquivos de artefato usados pelo FortiOS à lista de denylist de execução da sua organização. Qualquer tentativa de instalar ou executar este programa e seus arquivos associados deve ser evitada.
•  Faça backups regulares de dados e proteja com senha as cópias offline. Certifique-se de que as cópias dos dados críticos não estejam acessíveis para modificação ou exclusão do sistema primário onde os dados residem.
• Implemente uma segmentação da rede.
•  Solicitar credenciais de administrador para instalar o software.
•  Implementar um plano de recuperação para restaurar dados confidenciais ou proprietários de um local fisicamente separado, segmentado e seguro (por exemplo, disco rígido, dispositivo de armazenamento, nuvem).
•  Instale atualizações/patches de sistemas operacionais, software e firmware assim que as mesmas forem lançadas.
• Use autenticação multifator sempre que possível. 
• Aplique políticas de senhas para sistemas e contas de rede e evite reutilizar senhas para contas diferentes. Implemente o período de tempo mais curto aceitável para alterações de senha, de 45 a 90 dias. 
•  Desative as portas de acesso remoto/RDP (Remote Desktop Protocol) não utilizadas e monitore os logs de acesso remoto/ RDP.
• Auditar contas de usuários com privilégios administrativos e configurar controles de acesso com o mínimo de privilégios. 
• Instale e atualize regularmente o software antivírus e anti-malware em todos os hosts.
• Considere adicionar um banner de e-mail aos e-mails recebidos de fora da sua organização.
• Desative os hiperlinks nos e-mails recebidos.
• Foco na conscientização e treinamento. Forneça aos usuários treinamento sobre princípios e técnicas de segurança da informação, especialmente sobre como reconhecer e evitar emails de phishing. 
  

O NIC.br disponibilizou uma cartilha com melhores práticas de segurança na internet e que podem servir como base para campanhas de conscientização dos funcionários, em sua empresa, no tocante a importância da segurança da informação para o negócio.

--------------

 Nossos canais:

Facebook | Telegram | Twitter | YouTube