Boletín semanal de Ciberseguridad, 25 de febrero – 3 de marzo

Vulnerabilidades en Houzez de WordPress

Un investigador de seguridad de Patchstack ha descubierto recientemente dos vulnerabilidades críticas en Houzez, un tema y su plugin de WordPress que permite administrar listas de forma sencilla y fluida para el cliente.

• La primera vulnerabilidad, identificada como CVE-2023-26540 y CVSS de 9.8, hace referencia a un error de configuración que afecta a la versión 2.7.1 y anteriores, y puede ser explotada de forma remota sin necesidad de autenticación para escalar privilegios.
• Por otro lado, el fallo identificado como CVE-2023-26009 y CVSS 9.8, afecta al inicio de sesión de Houzez en las versiones 2.6.3 y anteriores.

En los ataques observados por Patchstack, los actores amenaza distribuyeron un backdoor capaz de ejecutar comandos, inyectar anuncios en el sitio web y redirigir hacia sitios maliciosos, por lo que los investigadores recomiendan actualizar a la mayor brevedad posible.

Más info →

* * *

Digital Smoke: estafa de fraude de inversiones a nivel mundial

El equipo de Resecurity ha identificado una red de fraude de inversiones, que habría operado desde el año 2015 hasta inicios del año 2023.

Los actores maliciosos detrás de esta red, a los que se ha denominado “Digital Smoke”, operaban suplantando a corporaciones conocidas mundialmente, como Verizon, BackRock, Ferrari, Shell o Barclays, entre otras, con el fin de que las víctimas, localizadas a nivel mundial, realizaran inversiones en productos de inversión falsos. Digital Smoke desarrolló una gran red de recursos web y aplicaciones móviles alojadas en diferentes proveedores de alojamiento y jurisdicciones.

El modus operandi consistía en el registro de dominios similares a los legítimos de las empresas suplantadas, colocando los enlaces para el registro de nuevas víctimas en aplicaciones de mensajería como WhatsApp y otras redes sociales.

Una vez que las víctimas se registraban en la página web o aplicación creada por los actores maliciosos, estos les solicitaban la realización de un pago para la presunta inversión.

Cabe señalarse que los investigadores compartieron toda la información disponible con el Centro de Coordinación de Delitos Cibernéticos de la India y autoridades de EE UU a finales de 2022, siendo interrumpida la operación a principios de 2023.

Más info →

* * *

Aruba corrige seis vulnerabilidades críticas

Aruba ha publicado un aviso de seguridad en el que informa acerca de seis vulnerabilidades críticas que afectan a varias versiones de ArubaOS. Los productos afectados son Aruba Mobility Conductor, Aruba Mobility Controllers y WLAN Gateways y SD-WAN Gateways.

• Las vulnerabilidades identificadas como CVE-2023-22747, CVE-2023-22748, CVE-2023-22749 y  CVE-2023-22750, todas con CVSSv3 9.8 derivan en un fallo de inyección de comandos.
• Las vulnerabilidades CVE-2023-22751  y  CVE-2023-22752 también ambas con CVSSv3 9.8, son errores de buffer overflow.

Estas vulnerabilidades pueden ser aprovechadas por un atacante no autenticado para enviar paquetes al PAPI (protocolo de administración de puntos de acceso de Aruba) a través del puerto UDP 8211, permitiendo la ejecución de código arbitrario como usuarios con privilegios en ArubaOS.

Más info →

* * *

APT-C-36: nueva campaña maliciosa contra Ecuador y Colombia

El equipo de investigadores de BlackBerry ha publicado una investigación en la que desvela la existencia de una nueva campaña de APT-C-36, grupo también conocido como BlindEagle, contra objetivos geolocalizados en Ecuador y Colombia.

En concreto, en esta campaña actores maliciosos suplantaron la identidad de la Dirección de Impuestos y Aduanas Nacionales de Colombia y el Servicio de Rentas Internas de Ecuador con el objetivo de lanzar campañas de phishing dirigidas contra industrias clave en ambos países, entre las que se incluyen sector salud, financiero y gubernamental.

Esta información surge a raíz de otro descubrimiento realizado el pasado mes de enero por parte de la compañía Check Point que alertaba de una campaña realizada por dicho actor y de la cual señalaban estar interesados en conseguir ganancias monetarias.

No obstante, desde BlackBerry han indicado que durante los incidentes más recientes los objetivos eran el robo de información y espionaje de sus víctimas.

Más info →

* * *

​Campaña de cryptojacking contra bases de datos Redis

Investigadores de Cado Labs han descubierto una campaña de cryptojacking que tiene como objetivo los servidores de bases de datos Redis mal configurados.

La campaña se realiza a través de transfer.sh, un servicio de transferencia de archivos de código abierto que se lleva vulnerando desde 2014.

El vector de acceso tiene lugar mediante la explotación de una implementación insegura de Redis, guardando la base de datos en un directorio cron que conduce a la ejecución de comandos arbitrarios.

Dado que el objetivo principal del malware es minar criptomonedas con XMRig, lleva a cabo una serie de medidas para garantizar su efectividad. Entre estas, libera memoria en el sistema, elimina los cryptominers que pueda haber e instala un escáner de red para encontrar otros servidores Redis vulnerables y propagar la infección.

Más info →