Boletín semanal de ciberseguridad 6-12 febrero

Intento de contaminación del agua potable mediante un ciberataque

Un actor amenaza no identificado habría accedido a los sistemas informáticos de la planta de tratamiento de aguas de la ciudad de Oldsmar en Florida, Estados Unidos, y habría modificado los componentes químicos a niveles peligrosos. La intrusión tuvo lugar el viernes 5 de febrero, cuando el atacante accedió hasta en dos ocasiones a un sistema informático que estaba configurado para permitir el control remoto de las operaciones de tratamiento de agua. Durante su segunda intrusión, cuya duración fue de unos cinco minutos, un operador que monitorizaba el sistema detectó al intruso al mover éste el cursor del ratón en la pantalla y acceder al software responsable del tratamiento de agua, llegando a cambiar el hidróxido de sodio, también conocido como sosa cáustica, de aproximadamente 100 partes por millón a 11.100 partes por millón. Desde el personal de la ciudad de Oldsmar han indicado que el atacante se desconectó en cuanto modificó los niveles de sosa cáustica y que, inmediatamente, un operador humano habría revertido estos niveles químicos a la normalidad, evitando que el agua contaminada llegase a los residentes locales. Las autoridades no han atribuido el ataque a ningún grupo o entidad específicos, aunque es importante señalar que la ciudad de Oldsmar está ubicada cerca del centro urbano de Tampa, que fue sede de la Super Bowl el pasado domingo.

Más información: https://www.zdnet.com/article/hacker-modified-drinking-water-chemical-levels-in-a-us-city/

Boletín de seguridad de Microsoft

Microsoft ha publicado su boletín mensual de seguridad en el que ha corregido 56 vulnerabilidades, 11 de ellas clasificadas como críticas, 2 como moderadas y 43 como importantes. Entre los fallos abordados destaca uno del tipo 0-day en Windows, catalogado como CVE-2021-1732, que estaría siendo explotado antes de la publicación de los parches del día de ayer y que permitiría que un atacante o programa malicioso obtenga privilegios administrativos. Entre el resto de fallos corregidos destacan dos errores críticos (CVE-2021-24074 y CVE-2021-24094) en la pila TCP/IP de Windows, que podrían desencadenar la ejecución remota de código; además de un tercer error (CVE-2021-24086), que podría ser usado en ataques DoS para bloquear dispositivos Windows. En adición, también se ha corregido un error crítico de ejecución remota de código en el componente del servidor DNS de Windows (CVE-2021-24078), que podría aprovecharse para secuestrar las operaciones de resolución de nombres de dominio dentro de entornos corporativos y redirigir el tráfico legítimo a servidores maliciosos. Finalmente, Microsoft también habría corregido 6 vulnerabilidades previamente reveladas (CVE-2021-1721, CVE-2021-1727, CVE-2021-1733, CVE-2021-24098, CVE-2021-24106 y CVE-2021-26701).

Toda la información: https://msrc.microsoft.com/update-guide/releaseNote/2021-Feb

Boletín de seguridad de SAP

SAP ha publicado su boletín mensual de actualizaciones de seguridad en el que ha abordado una vulnerabilidad crítica en SAP Commerce, entre otras. El fallo crítico, catalogado como CVE-2021-21477 y con un CVSS de 9.9, afectaría a las versiones 1808, 1811, 1905, 2005 y 2011 del producto SAP Commerce, y podría permitir la ejecución remota de código (RCE). La compañía habría solventado el error cambiando los permisos predeterminados para las nuevas instalaciones del software, pero se necesitarían acciones de corrección manuales adicionales para las instalaciones existentes. Dichas acciones, según la firma de seguridad Onapsis, se podrían usar como una solución alternativa completa, siempre que no se puedan instalar los últimos parches. Por otra parte, se han incluido actualizaciones de otras seis notas de seguridad publicadas anteriormente, entre las cuales destaca la corrección de problemas en control del navegador Chromium, que se facilita con el cliente empresarial de SAP, cuya puntuación CVSS asciende a 10 y que afecta a la versión 6.5 del cliente de SAP. Finalmente, se ha solucionado un fallo de gravedad crítica (CVE-2021-21465), publicado y actualizado anteriormente, que incluiría a su vez múltiples fallos en SAP Business Warehouse, un producto de almacenamiento de datos basado en la plataforma SAP NetWeaver ABAP. Se recomienda encarecidamente a los usuarios que actualicen a las últimas versiones los productos afectados.

Más información: https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=568460543

Microsoft advierte sobre el aumento de ataques de Webshell

Microsoft ha alertado sobre la volumetría de ataques mensuales de Webshell, la cual se habría duplicado desde el año pasado. Las Webshell son herramientas que los actores amenaza implementan en servidores comprometidos para obtener y/o mantener el acceso, así como para ejecutar de forma remota códigos o comandos arbitrarios, desplazarse lateralmente dentro de la red o entregar payloads maliciosos adicionales. Los datos más recientes de Microsoft 365 Defender muestran que este aumento constante del uso de Webshells no solo se ha mantenido, sino que se ha acelerado. Además, todos los meses desde agosto de 2020 hasta enero de 2021, registraron un promedio de 140.000 herramientas maliciosas de este tipo encontradas en servidores comprometidos, casi el doble del promedio mensual visto el año anterior. En su publicación, Microsoft también facilita algunos consejos sobre cómo reforzar los servidores contra ataques que intentan descargar e instalar una Webshell. En esta misma línea, cabe recordar que la Agencia de Seguridad Nacional de EE.UU, en un informe conjunto emitido con la Dirección de Señales de Australia (ASD) en abril de 2020, también advirtió que se estarían intensificando los ataques a los servidores web vulnerables, para desplegar puertas traseras de Webshell. Asimismo, cabe agregar que la NSA tiene un repositorio con herramientas que organizaciones y administradores pueden usar para detectar y bloquear amenazas de esta tipología.

Más detalles: https://www.microsoft.com/security/blog/2021/02/11/web-shell-attacks-continue-to-rise/

Y si quieres más información en tiempo real, suscríbete a nuestro canal de noticias y reflexiones sobre ciberseguridad creado por el equipo de Innovación y Laboratorio de ElevenPaths. Visita la página de CyberSecurityPulse.