#noticias #Malware #ransomware #VPN #vulnerabilidad
https://www.bleepingcomputer.com/news/security/black-kingdom-ransomware-hacks-networks-with-pulse-vpn-flaws/
Investigadores de seguridad han descubierto que los operadores de ransomware Black Kingdom están apuntando a empresas con software Pulse Secure VPN sin parche o acceso inicial a la red
El malware quedó atrapado en un honeypot, lo que permitió a los investigadores analizar y documentar las tácticas utilizadas por los actores de la amenaza.
Modus operandi
Están explotando CVE-2019-11510, una vulnerabilidad crítica que afecta a versiones anteriores de Pulse Secure VPN que fue parcheada en abril de 2019. Las compañías retrasaron la actualización de su software incluso después de que las vulnerabilidades se hicieran públicas, lo que provocó múltiples alertas del gobierno de EE. UU. Y los actores de amenazas comenzaron a aprovechar eso; Algunas organizaciones continúan ejecutando una versión vulnerable del producto.
REDTEAM.PL, una compañía que ofrece servicios de seguridad cibernética con sede en Polonia, observó que los operadores de Black Kingdom usaban la misma puerta proporcionada por Pulse Secure VPN para violar lo que creían que era un objetivo.
Según las observaciones de los investigadores, el ransomware estableció persistencia al hacerse pasar por una tarea programada legítima para Google Chrome, con una sola letra que marca la diferencia:
GoogleUpdateTaskMachineUSA - Tarea Black Kingdom
GoogleUpdateTaskMachineUA: tarea legítima de Google Chrome
Según el análisis de REDTEAM.PL, la tarea programada ejecuta un código de cadena codificado en Base64 en una ventana oculta de PowerShell para obtener un script llamado "reverse.ps1" que probablemente se usa para abrir un shell inverso en el host comprometido.
https://www.bleepingcomputer.com/news/security/black-kingdom-ransomware-hacks-networks-with-pulse-vpn-flaws/
Investigadores de seguridad han descubierto que los operadores de ransomware Black Kingdom están apuntando a empresas con software Pulse Secure VPN sin parche o acceso inicial a la red
El malware quedó atrapado en un honeypot, lo que permitió a los investigadores analizar y documentar las tácticas utilizadas por los actores de la amenaza.
Modus operandi
Están explotando CVE-2019-11510, una vulnerabilidad crítica que afecta a versiones anteriores de Pulse Secure VPN que fue parcheada en abril de 2019. Las compañías retrasaron la actualización de su software incluso después de que las vulnerabilidades se hicieran públicas, lo que provocó múltiples alertas del gobierno de EE. UU. Y los actores de amenazas comenzaron a aprovechar eso; Algunas organizaciones continúan ejecutando una versión vulnerable del producto.
REDTEAM.PL, una compañía que ofrece servicios de seguridad cibernética con sede en Polonia, observó que los operadores de Black Kingdom usaban la misma puerta proporcionada por Pulse Secure VPN para violar lo que creían que era un objetivo.
Según las observaciones de los investigadores, el ransomware estableció persistencia al hacerse pasar por una tarea programada legítima para Google Chrome, con una sola letra que marca la diferencia:
GoogleUpdateTaskMachineUSA - Tarea Black Kingdom
GoogleUpdateTaskMachineUA: tarea legítima de Google Chrome
Según el análisis de REDTEAM.PL, la tarea programada ejecuta un código de cadena codificado en Base64 en una ventana oculta de PowerShell para obtener un script llamado "reverse.ps1" que probablemente se usa para abrir un shell inverso en el host comprometido.
Comments
Be the first to add a comment
Log in to comment