Noticias de Ciberseguridad: Boletín semanal 7-13 de noviembre

Vínculos entre Vatet, PyXie y Defray777

Investigadores de Palo Alto Networks han indagado en las familias de malware y metodologías operativas utilizadas por un actor amenaza que ha logrado pasar desapercibido mientras comprometía entidades en el sector salud, educativo, tecnológico e institucional. El grupo, en activo desde 2018 y movido por motivaciones financieras, sería el responsable de la creación de Vatet, un loader que permite la ejecución del payloads como PyXie RAT y Cobalt Strike. En algunas intrusiones puede observarse un paso previo mediante el uso de troyanos bancarios típicos como IcedID o Trickbot como punto de entrada, para posteriormente descargar Vatet y sus payloads con el objeto de realizar labores de reconocimiento y exfiltración de información antes de ejecutar en memoria el ransomware Defray777. Los investigadores estiman que este grupo es el responsable de la creación y mantenimiento de Vatet, PyXie y Defray777.

Boletín de seguridad de Microsoft

Microsoft ha publicado su boletín mensual de actualizaciones, conocido como Patch Tuesday, en el que la compañía ha corregido 112 vulnerabilidades en varios de sus productos. 17 vulnerabilidades han sido clasificadas como críticas, estando 12 de ellas relacionadas con errores de RCE. Entre las vulnerabilidades publicadas por la compañía de Redmond destaca la CVE-2020-17087 (CVSS 7.8): vulnerabilidad local de elevación de privilegios del kernel de Windows y que fue descubierta por Google Project Zero siendo explotada activamente. Asimismo, la vulnerabilidad crítica CVE-2020-17051 (CVSS 9.8) permite la ejecución remota de código que se encuentra en el sistema de archivos de red (NFS) de Windows. El equipo de investigadores de Automox advierten que, en los próximos días, prevén un aumento en el escaneo de puertos 2049, como consecuencia de esta vulnerabilidad. En último lugar, destacar las vulnerabilidades CVE-2020-17052 (CVSS 7.5) y CVE-2020-17053 (CVSS 7.5), que afectan a una corrupción de memoria que podrían llevar a la ejecución remota de código que se encuentra en Scripting Engine e Internet Explorer de Microsoft.

Dos nuevos 0-day en Chrome

Google publicó ayer la corrección de dos nuevas vulnerabilidades 0-day en su navegador Chrome que estarían siendo explotadas activamente. El primero de ellos (CVE-2020-16013) se debe a una incorrecta implementación de su motor JavaScript V8. El segundo (CVE-2020-16017) es un fallo de corrupción de memoria use-after-free en el componente de seguridad Site Isolation. Desde Google indican que tienen constancia de la existencia de exploits para estas vulnerabilidades. Con el lanzamiento de esta nueva versión del navegador (la 86.0.4240.198), Google habría corregido cinco fallos 0-day en menos de tres semanas.

Distribución de malware a través de falsas actualizaciones de Microsoft Teams

Según indica el medio Bleeping Computer, Microsoft estaría alertando a sus usuarios a través de una nota privada sobre una campaña de falsas actualizaciones de Microsoft Teams llevada a cabo por los operadores de ransomware. En esta campaña, los agentes amenaza estarían aprovechando anuncios maliciosos de forma que, al buscar la aplicación de Teams en los motores de búsqueda, los principales resultados llevan a un dominio bajo el control del atacante. Al acceder al enlace malicioso, se descargaría el payload oculto bajo una actualización de Teams legítima. Según Microsoft, en la mayoría de los casos, el payload inicial era el infostealer Predator the Thief, el cual permite la exfiltración de información sensible de la víctima. Sin embargo, también se han detectado los malware Bladabindi y ZLoader, así como Cobalt Strike para realizar movimiento lateral en la red infectada y posteriormente lanzar el ransomware.

Nuevo malware de punto de venta contra el sector de la hostelería

Investigadores de ESET han descubierto un nuevo backdoor modular, denominado ModPipe, que se dirige contra software de gestión de puntos de venta (POS) con el objetivo de robar información sensible almacenada en estos dispositivos. Esta puerta trasera afecta a los sistemas RES 3700 POS de Oracle MICROS, un software utilizado en gran cantidad de restaurantes, bares y otros establecimientos de hostelería en todo el mundo. El malware consta de un dropper mediante el cual se instala un loader para ganar persistencia. El siguiente paso consiste en implementar el módulo principal encargado de establecer comunicaciones con otros módulos descargables que permitirían, entre otras acciones, descifrar y robar contraseñas de las bases de datos, obtener los procesos en ejecución o escanear direcciones IP.

Y si quieres más información en tiempo real, suscríbete a nuestro canal de noticias y reflexiones sobre ciberseguridad creado por el equipo de Innovación y Laboratorio de ElevenPaths. Visita el canal de Telegram CyberSecurity Pulse aquí.

Para más información visita https://empresas.blogthinkbig.com/elevenpaths/ o https://cybersecuritypulse.e-paths.com.