El Grupo APT TunnelVision Explota el Log4j
Tabla de contenidos:
Uno de los exploits más notorios de 2021 hizo su ruidosa entrada en el mundo de la ciberseguridad en diciembre, y ahora Log4Shell está de vuelta en el radar: el APT TunnelVision vinculado a Irán no lo dejó descansar en paz, atacando y aprovechando las vulnerabilidades de VMware Horizon Log4j, junto con la explotación a gran escala de Fortinet FortiOS (CVE-2018-13379) y Microsoft Exchange (ProxyShell).
Detección de Actividades de TunnelVision
Según los datos actuales, el objetivo final de TunnelVision es distribuir ransomware, aprovechando los servidores VMware Horizon sin parches. Consulta las reglas Sigma que identifican las actividades del actor de la amenaza: detecta líneas de comando utilizadas para mantener la persistencia, carga de DLL y otros comportamientos sospechosos asociados con la amplia explotación de vulnerabilidades de 1 día como Fortinet FortiOS, ProxyShell y Log4Shell.
Log4j RCE (CVE-2021-44228) Objetivo en VMware Horizon mediante el Servicio VMBlastSG
Las reglas son proporcionadas por nuestros desarrolladores históricos de Threat Bounty Sittikorn Sangrattanapitak, Aytek Aytemur, Nattatorn Chuensangarun, Emir Erdogan.
Se ha demostrado que los atacantes de TunnelVision emplean herramientas de túnel (de ahí el nombre), como Fast Reverse Proxy Client (FRPC) y Plink, para evitar la detección. En este entorno, se recomienda encarecidamente a todos los profesionales de seguridad que compartan inteligencia sobre amenazas con la comunidad y aprovechen los indicadores de compromiso disponibles. Además, es prudente aprovechar la oportunidad de elevar su rutina de defensa y detección. Para consultar la lista completa de contenido de detección, visite la plataforma SOC Prime. Los expertos en ciberseguridad son más que bienvenidos a unirse al programa Threat Bounty para publicar contenido SOC en la plataforma líder de la industria y ser recompensados por su valiosa contribución.
Ver Detecciones Unirse a Threat Bounty
Grupo APT TunnelVision Exploits
La seguridad es tan fuerte como el eslabón más débil. Hace unos meses, la biblioteca Log4j se convirtió en la principal puerta de entrada para los actores de amenazas en los dispositivos y redes de las víctimas. Desde que Log4Shell, también conocida como vulnerabilidad crítica Log4j o LogJam en Apache Log4j, apareció por primera vez en diciembre de 2021, las empresas de todo el mundo han estado lidiando con serios problemas de ciberseguridad. La notoria Log4Shell sorprendió a la comunidad de seguridad digital por la gravedad de los incidentes, así como por la rapidez con que aumentaban. La facilidad de explotar el error de la biblioteca permitió una ejecución remota de código no autenticada que concedía compromiso total del sistema. Atrajo a muchos adversarios y fue extremadamente explotada en la naturaleza.
Hoy, TunnelVision está explotando la vulnerabilidad Log4j, Fortinet FortiOS y Microsoft Exchange en el Medio Oriente y los EE.UU. como las principales regiones objetivo, informan los investigadores de SentinelOne . El análisis de TTPs traza patrones característicos de las organizaciones de hackers respaldadas por el estado iraní Nemesis Kitten, Phosphorus y Charming Kitten.
La explotación de Log4j en VMware Horizon está marcada por un proceso malicioso que surge del servicio Tomcat del producto VMware. Según los investigadores, los adversarios inicialmente explotan Log4j para ejecutar comandos PowerShell y luego continúan con comandos PS reverse shells a través de Tomcat. Con PowerShell, los actores de amenaza descargan herramientas de túnel como Ngrok con el objetivo de introducir puertas traseras en PowerShell. El primer paquete de explotación es un archivo zip con un ejecutable InteropServices.exe; el segundo es una versión modificada de un comando PowerShell de una línea que ha sido ampliamente usado por hackers patrocinados por el estado en campañas anteriores.
Se informa que TunnelVision ha utilizado un repositorio de GitHub, «VmWareHorizon» para almacenar las cargas útiles a lo largo de la operación.
Conclusión
Los APTs son una faceta sobresaliente y peligrosa del marco de amenazas modernas de ciberseguridad. La plataforma SOC Prime ayuda a defenderse contra las soluciones de hacking personalizadas de los APTs de manera más rápida y eficiente. Prueba las capacidades de transmisión de contenido del módulo CCM y ayuda a tu organización a potenciar las operaciones diarias del SOC con inteligencia de amenazas cibernéticas. Mantén el dedo en el pulso del vertiginoso entorno de riesgos de ciberseguridad y obtén las mejores soluciones de mitigación con SOC Prime.
