Atacantes explotan vulnerabilidad crítica de Zimbra
Cuando tienen éxito, los ataques instalan una puerta trasera. Hacer que funcione de manera confiable es otra cuestión.
Investigadores advierten que los atacantes están explotando activamente una vulnerabilidad crítica en los servidores de correo vendidos por Zimbra para ejecutar comandos maliciosos de forma remota que instalan una puerta trasera.
La vulnerabilidad, identificada como CVE-2024-45519, reside en el servidor de correo y colaboración de Zimbra, utilizado por organizaciones medianas y grandes. Cuando un administrador cambia manualmente la configuración predeterminada para habilitar el servicio postjournal, los atacantes pueden ejecutar comandos enviando correos electrónicos maliciosamente formados a una dirección alojada en el servidor. Zimbra ha lanzado recientemente un parche para esta vulnerabilidad. Todos los usuarios de Zimbra deben instalarlo o, como mínimo, asegurarse de que postjournal esté deshabilitado.
Fácil, sí, pero ¿confiable?
El martes, el investigador de seguridad Ivan Kwiatkowski informó por primera vez sobre los ataques en curso, los cuales describió como una "explotación masiva". Dijo que los correos electrónicos maliciosos fueron enviados desde la dirección IP 79.124.49[.]86 y, cuando tuvieron éxito, intentaron ejecutar un archivo alojado allí utilizando la herramienta conocida como curl. Investigadores de la firma de seguridad Proofpoint confirmaron el informe a través de redes sociales más tarde ese mismo día.
El miércoles, investigadores de seguridad proporcionaron detalles adicionales que sugieren que el daño causado por la explotación continua probablemente sea limitado. Como ya se mencionó, debe modificarse una configuración predeterminada, lo que probablemente reduce el número de servidores vulnerables.
El investigador de seguridad Ron Bowes informó que la "carga útil en realidad no hace nada: descarga un archivo (a stdout) pero no hace nada con él". Dijo que, en el transcurso de aproximadamente una hora el miércoles, un servidor trampa que operaba para observar amenazas en curso recibió aproximadamente 500 solicitudes. También informó que la carga útil no se entrega directamente a través de correos electrónicos, sino a través de una conexión directa al servidor malicioso mediante SMTP (Protocolo Simple de Transferencia de Correo).
"Eso es todo lo que hemos visto (hasta ahora), no parece ser un ataque serio", escribió Bowes. "Estaré atento y veré si intentan algo más".
En un correo electrónico enviado el miércoles por la tarde, el investigador de Proofpoint Greg Lesnewich coincidió en gran medida en que los ataques probablemente no conduzcan a infecciones masivas que puedan instalar ransomware o malware de espionaje. El investigador proporcionó los siguientes detalles:
- Aunque los intentos de explotación que hemos observado son indiscriminados en su objetivo, no hemos visto un gran volumen de intentos.
- Basado en lo que hemos investigado y observado, la explotación de esta vulnerabilidad es muy fácil, pero no tenemos información sobre cuán confiable es.
- La explotación ha permanecido más o menos igual desde que la detectamos por primera vez el 28 de septiembre.
- Hay un PoC (Prueba de Concepto) disponible, y los intentos de explotación parecen ser oportunistas.
- La explotación es geográficamente diversa y parece ser indiscriminada.
- El hecho de que el atacante esté utilizando el mismo servidor para enviar los correos electrónicos de explotación y alojar las cargas útiles de segunda etapa indica que el actor no tiene un conjunto distribuido de infraestructura para enviar correos de explotación y gestionar las infecciones después de una explotación exitosa. Esperaríamos que el servidor de correo y los servidores de carga útil fueran entidades diferentes en una operación más madura.
Los defensores que protegen los dispositivos de Zimbra deben estar atentos a direcciones CC o To extrañas que parezcan mal formadas o contengan cadenas sospechosas, así como a registros del servidor de Zimbra que indiquen conexiones salientes a direcciones IP remotas.
Proofpoint ha explicado que algunos de los correos electrónicos maliciosos utilizaron múltiples direcciones de correo que, cuando se pegaban en el campo CC, intentaban instalar una puerta trasera basada en un webshell en los servidores Zimbra vulnerables. La lista completa de CC se envolvía como una sola cadena y se codificaba utilizando el algoritmo base64. Cuando se combinaban y se convertían de nuevo a texto sin formato, creaban un webshell en la ruta: /jetty/webapps/zimbraAdmin/public/jsp/zimbraConfig.jsp.
Proofpoint añadió: “Una vez instalado, el webshell escucha una conexión entrante con un campo de Cookie JSESSIONID predeterminado; si está presente, el webshell luego analiza la Cookie JACTION en busca de comandos base64. El webshell admite la ejecución de comandos a través de exec o descarga y ejecuta un archivo sobre una conexión de socket.”
Proofpoint informó que detectó los ataques por primera vez el 28 de septiembre. Un día antes, investigadores de Project Discovery realizaron ingeniería inversa del parche lanzado por Zimbra y publicaron una prueba de concepto que demostraba cómo funcionaba.
Un informe de Project Discovery decía que los investigadores lograron explotar la vulnerabilidad en su laboratorio utilizando un correo electrónico que contenía lo siguiente:
EHLO localhost
MAIL FROM: <aaaa@mail.domain.com>
RCPT TO: <"aabbb;touch${IFS}/tmp/pwn;"@mail.domain.com>
DATA
aaa
.
</aaaa@mail.domain.com>
Sin embargo, informaron que su exploit no era confiable.
"Aunque realizamos esta prueba en nuestro propio servidor Zimbra como prueba de concepto", escribieron los investigadores, "cuando intentamos explotar la vulnerabilidad de forma remota a través de internet, enfrentamos fallas".
A pesar de los factores mitigantes, CVE-2024-45519 sigue siendo una amenaza potencial, ya que los ataques a menudo mejoran con el tiempo a medida que más personas lo prueban. Cualquier persona que use Zimbra debería instalar el parche lo antes posible y asegurarse de que postjournal esté habilitado solo cuando sea necesario.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario