Alerta: Ataques a Firewalls de Juniper, Openfire y Apache RocketMQ por Nuevos Exploits

En 2023 se registraron ataques activos contra vulnerabilidades en Juniper J-Web, Openfire y Apache RocketMQ, explotadas para ejecutar código, instalar mineros y sumar equipos a botnets. En paralelo, Rapid7 alertó sobre intrusiones a las VPN SSL de Cisco ASA sin MFA para desplegar Akira y LockBit.

En agosto de 2023 coincidieron varias campañas de explotación contra productos expuestos a Internet: los firewalls Juniper SRX y switches EX con J-Web, los servidores de mensajería Openfire y los brokers Apache RocketMQ. En los tres casos los atacantes no necesitaban autenticarse, y en los tres ya existían parches. El denominador común es la exposición: interfaces administrativas y servicios que nunca debieron quedar abiertos a Internet.

Juniper J-Web: explotación el mismo día de la PoC

Las vulnerabilidades CVE-2023-36844, CVE-2023-36845, CVE-2023-36846 y CVE-2023-36847 están en el componente J-Web de Junos OS y se pueden encadenar para ejecutar código arbitrario sin credenciales. Juniper publicó parches el 17 de agosto de 2023. Una semana después, watchTowr Labs liberó una prueba de concepto que combinaba CVE-2023-36846 y CVE-2023-36845 para ejecutar un archivo PHP con shellcode. Ese mismo día, la Fundación Shadowserver empezó a ver intentos de explotación desde múltiples IP contra el endpoint /webauth_operation.php. Había más de 8,200 dispositivos Juniper con J-Web expuesto, la mayoría en Corea del Sur, EE. UU., Hong Kong, Indonesia, Turquía e India.

Openfire y RocketMQ: puerta de entrada para mineros

CVE-2023-32315, de severidad alta, afecta a la consola administrativa de Openfire. Según Aqua, permite a un usuario no autenticado aprovechar el entorno de configuración inicial en una instalación ya configurada y llegar a archivos restringidos del administrador. Desde ahí se puede crear un usuario administrador o subir un complemento que da control total del servidor. Los operadores de la botnet Kinsing hicieron exactamente eso: crearon un administrador y cargaron un JAR con una web shell, cmd.jsp, que bajaba el malware y un minero de criptomonedas. Aqua contó 6,419 servidores Openfire accesibles desde Internet, principalmente en China, EE. UU. y Brasil, un dato relevante para la región.

En RocketMQ, la vulnerabilidad de severidad crítica CVE-2023-33246 afecta a las versiones 5.1.0 y anteriores, y permite ejecutar comandos con los privilegios del proceso del sistema sin autenticación.

Juniper Threat Labs detectó ataques desde el 19 de junio de 2023 que instalaban un script de bash llamado "reketed", encargado de descargar la botnet DreamBus desde un servicio oculto de Tor. DreamBus es un malware para Linux, variante de SystemdMiner, activo desde principios de 2019, que mina criptomonedas, elimina versiones antiguas de sí mismo y persiste mediante un trabajo cron. Su diseño modular permite que ejecute otros scripts y, por lo tanto, otro malware.

Cisco ASA sin MFA y el ransomware

Rapid7 advirtió además sobre un aumento de actividad, desde marzo de 2023, contra VPN SSL de Cisco ASA para desplegar Akira y LockBit. Hubo relleno de credenciales y fuerza bruta contra equipos donde la MFA no estaba habilitada o no aplicaba a todos los usuarios.

Cisco reconoció los ataques y sugirió que los actores de amenazas también compraban credenciales robadas. Rapid7 lo vinculó a un manual que vendía en foros clandestinos el corredor de acceso inicial Bassterlord, quien afirmaba haber comprometido 4,865 servicios VPN SSL de Cisco y 9,870 VPN de Fortinet con la combinación test:test. Citrix NetScaler ADC y Gateway sin parchear también estaban en la mira de grupos de ransomware.

Por qué importa y qué hacer

Ninguno de estos ataques requirió un día cero: todos aprovecharon parches no aplicados, paneles expuestos o contraseñas débiles. El tiempo entre la publicación de una PoC y la explotación masiva fue de horas, así que un ciclo de parches mensual no alcanza para equipos perimetrales. Para organizaciones de Latinoamérica que usan Openfire como chat interno o ASA como VPN de acceso remoto, el riesgo es concreto: Brasil aparecía entre los países con más servidores Openfire expuestos.

• Aplica los parches de Juniper del 17 de agosto de 2023 y, mientras tanto, desactiva J-Web o restringe su acceso a una red de administración.
• Actualiza Openfire para corregir CVE-2023-32315 y revisa si hay usuarios administradores o complementos que no reconozcas.
• Actualiza RocketMQ a una versión posterior a la 5.1.0 y busca trabajos cron o procesos de minería desconocidos en los servidores Linux.
• Exige MFA a todos los usuarios de la VPN SSL de Cisco ASA, elimina cuentas genéricas como test y revisa los registros de intentos fallidos de inicio de sesión.
• Parcha Citrix NetScaler ADC y Gateway y busca web shells en los equipos que estuvieron expuestos sin actualizar.

Relacionado:
Atacantes explotan vulnerabilidad crítica en Drupal Commerce Core
Hackers chinos usan un día cero de VMware ESX y vulnerabilidades en firewalls
CISA advierte sobre la explotación de la vulnerabilidad Node2Shell

Fuente:
https://thehackernews.com/2023/08/alert-juniper-firewalls-openfire-and.html

Nota elaborada por Ciberseguridad en español a partir de información publicada por The Hacker News. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.