Error de escalada de privilegios en Linux 'Looney Tunables' vinculado al actor de amenazas Kinsing
La primera instancia de un ataque de explotación a la vulnerabilidad de escalada de privilegios de Linux conocida como "Looney Tunables" (CVE-2023-4911) fue informada por investigadores de Aqua Nautilus.
En una publicación de blog el 3 de noviembre, los investigadores de Aqua Nautilus dijeron que están "100% seguros" de que el actor de amenazas Kinsing estaba detrás del ataque, pero aún no están listos para revelar "cómo".
Los investigadores de Aqua Nautilus anunciaron que en un próximo informe dedicado a Kinsing revelarán el enigma que rodea el caso. Prometieron un análisis exhaustivo, demostrando las metodologías y evidencias que permitieron al equipo de Aqua vincular de manera concluyente el ataque al actor de amenazas que tiene una historia notable.
Hasta la fecha, ningún grupo de investigación ha vinculado de manera concluyente a Kinsing con ningún grupo de amenazas específico, ya sea un estado-nación u otro. Sin embargo, Kinsing representa una amenaza significativa para los entornos en la nube, en particular los clústeres de Kubernetes, las API de Docker, los servidores Redis y los servidores Jenkins, según los investigadores de Aqua Nautilus. Su capacidad para adaptarse rápidamente a nuevas vulnerabilidades y sus esfuerzos persistentes para explotar configuraciones incorrectas los convierten en un adversario formidable. El actor de amenazas Kinsing ha estado activamente involucrado en operaciones de cripto-minería.
Kinsing ha sido observado explotando servidores Openfire
Los investigadores de Aqua Nautilus informaron que Kinsing ha sido observado recientemente explotando servidores Openfire vulnerables. Esta ha sido en realidad una modus operandi robusta de Kinsing, específicamente para agregar rápidamente sus exploits de arsenal de vulnerabilidades recién descubiertas. Además, el blog de Aqua Nautilus dijo que Microsoft Defender for Cloud ha informado de un gran número de clústeres infectados por configuraciones incorrectas en servidores PostgreSQL y otras cuatro imágenes de contenedores vulnerables: PHPUnit, Weblogic, Liferay y WordPress.
Andrew Barratt, vicepresidente de Coalfire, explicó que la vulnerabilidad de Looney Tunables afecta a sistemas Linux comúnmente containerizados y utilizados en entornos en la nube.
"La razón por la que es significativa es que potencialmente otorga a un intruso una posición persistente con privilegios elevados, lo que le permite manipular y controlar el sistema subyacente, ya sea en la nube o no", dijo Barratt. "Debido a la capacidad del motor de orquestación para escalar, esto podría permitir que un atacante pruebe rápidamente un ataque que otorgaría acceso a toda una infraestructura basada en la nube".
Anurag Gurtu, CPO de StrikeReady, recomendó que para los equipos de seguridad, el paso inmediato debería ser investigar a fondo sus entornos en busca de indicadores de compromiso asociados con esta vulnerabilidad. Gurtu dijo que la gestión de parches es crucial: asegurarse de que todos los sistemas estén actualizados con los últimos parches de seguridad puede prevenir la explotación.
"También es recomendable revisar las configuraciones del sistema y reducir la exposición innecesaria de interfaces críticas a Internet público", dijo Gurtu. "La monitorización y exploración continuas de vulnerabilidades en el entorno deberían convertirse en una práctica regular. Los equipos de seguridad deben hacer cumplir el principio de privilegio mínimo para limitar el alcance de acceso incluso si un componente está comprometido."
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario