Ataque a 4 vulnerabilidades críticas en servidores Exchange

Ataque a 4 vulnerabilidades críticas en servidores Exchange

Las campañas de ciberataque se están presentando cada vez con más frecuencia, y los actores de amenazas encuentran día con día nuevas técnicas y herramientas para obtener acceso a sistemas críticos de las organizaciones, esto a través de los endpoints, el correo electrónico, equipos de red, servidores web, bases de datos, para a partir de ahí, realizar movimientos laterales intentando infectar la mayor cantidad posible de recursos y sistemas de la organización.

En esta ocasión se vieron afectados los servidores Microsoft Exchange por cuatro vulnerabilidades de “día cero” que fueron atacadas por un grupo que Microsoft denominó “Hafnium”, este aprovechó las vulnerabilidades para autenticarse como el servidor On-Premise de Exchange, ejecutar código y colocar archivos en cualquier ruta, el último paso habría sido desplegar Web Shells para robar datos, distribuir malware a través de la red y así facilitar el acceso a la organización a largo plazo. Las versiones de Microsoft Exchange que se han visto afectadas son 2013, 2016 y 2019.

Al menos 30,000 organizaciones se han visto afectadas en Estados Unidos, sin embargo, el número podría ser mucho mayor alrededor del mundo. A través del motor de búsqueda Shodan, se ha determinado que aproximadamente 63,000 servidores son vulnerables a estos exploits. Microsoft recomienda encarecidamente aplicar los parches liberados para solucionar las vulnerabilidades.

Una de las soluciones con las que NOVA cuenta en su portafolio es Trend Micro Vision One, los clientes de esta solución se benefician de las capacidades de XDR de los productos registrados en ella, como Cloud One Workload Security. Los indicadores relacionados con esta amenaza y vulnerabilidades asociadas de Exchange ya se incluyen en la funcionalidad Threat Intelligence Sweeping de Vision One, para poder buscar los IOC’s y que éstos sean agregados a los escaneos diarios de telemetría.

Los cibercriminales no descansan en su búsqueda por obtener beneficios personales afectando a muchas personas y organizaciones, sin embargo, del lado de IT y la organización en general, debemos estar atentos y actuar proactivamente en caso de detectar algún indicador de compromiso.

No olvides seguirnos en Facebook y LinkedIn para revisar más contenido de ciberseguridad y tecnologías de la información, estamos seguros de que no querrás perdértelo.

#NovaInforma

Microsoft corrige zero day y otras 83 vulnerabilidades en actualización de enero.

El primer paquete de actualizaciones de este 2021 corrige una zero-day en Microsoft Defender que según la compañía ya fue explotada por atacantes previo al lanzamiento del parche.
 
El martes de esta semana Microsoft lanzó el primer paquete de actualizaciones del 2021. En esta edición del popularmente conocido Patch Tuesday, la compañía reparó un total de 83 vulnerabilidades presentes en distintos productos. Del total de vulnerabilidades reparadas, 10 fueron catalogadas como críticas.  Uno de los fallos corregidos es una zero-day que afecta a Microsoft Defender.
 
Recomendación: Para proteger las empresas contra este tipo amenazas se recomienda tener herramientas de siguiente generación que además sean complementarias al AV tradiciones como Cortex XDR de Palo Alto.

Consulta el artículo aquí

Si usted usa el servicio de DNS de Microsoft, está información le sirve

Existe una vulnerabilidad de ejecución remota de código en los servidores del Sistema de nombres de dominio de Windows cuando no pueden manejar correctamente las solicitudes. Un atacante que aprovechará la vulnerabilidad con éxito podría ejecutar código arbitrario en el contexto de la cuenta del sistema local. Los servidores de Windows que están configurados como servidores DNS están expuestos a esta vulnerabilidad.
 
Para aprovechar la vulnerabilidad, un atacante no autenticado podría enviar solicitudes maliciosas a un servidor DNS de Windows.
 
Microsoft ha liberado la actualización de seguridad para poder hacer el manejo de esta vulnerabilidad. De igual manera los fabricantes de seguridad como Trend Micro, Palo Alto Networks y Sophos entre otros, han liberado firmas y reglas de prevención en sus herramientas:

Trend Micro
Patch Tuesday: Fixes for ‘Wormable’ Windows DNS Server RCE, SharePoint Flaws

Sophos:
It’s always DNS, including on July, 2020’s Patch Tuesday

Palo Alto Networks
https://threatvault.paloaltonetworks.com/ Unique Threat ID: 58691

Toda la información de la vulnerabilidad la puede consultar en: CVE-2020-1350 | Windows DNS Server Remote Code Execution Vulnerability