Guías, estudios e informes

Informe de vulnerabilidad de Zyxel

El equipo de Rapid7 ha hecho pública una vulnerabilidad, rastreada como CVE-2022-30525, que afecta al firewall Zyxel y sus dispositivos VPN para empresas y que podría permitir a un atacante remoto inyectar comandos arbitrarios sin autenticación, habilitando de esta forma la configuración de una shell inversa. Los productos afectados son muy comunes tanto en implementaciones de oficinas pequeñas como en sucursales centrales corporativas, con más de 15.000 dispositivos potencialmente vulnerables desplegados en varios países. Entre sus servicios, destacan la prestación de soluciones VPN, la inspección SSL, el filtrado web, la protección contra intrusiones y la seguridad para el correo electrónico.

Informe de malware Azorult

Azorult es una familia de malware que roba información a sus víctimas, y que cuenta además con capacidades para descargar otros programas maliciosos, lo que le permite ser utilizado como vector de entrada. Fue descubierto por primera vez en 2016, anunciado como un servicio donde se proporciona una versión compilada del malware con la configuración necesaria para funcionar con el servidor de comando y control que los propios desarrolladores también proporcionan, manteniendo el total control del código fuente, estrategia conocida como Malware as a Service (MaaS).

Actualizaciones de seguridad de SAP - Mayo 2022

SAP ha publicado las actualizaciones de seguridad para múltiples productos correspondientes al mes de mayo de 2022. En esta ocasión, se han notificado 10 nuevas notas de seguridad, a las que se añaden 4 actualizaciones de las publicadas con anterioridad. De todas ellas, 4 tienen carácter crítico, 2 alto y 8 medio. La entidad continúa poniendo el foco en la vulnerabilidad crítica de ejecución remota de código en Spring Framework, detectada en marzo de 2022 y conocida como vulnerabilidad Spring4Shell, con identificador CVE-2022-22965. Desde el BCSC, se recomienda la aplicación de las actualizaciones.

Actualizaciones de seguridad de Microsoft - Mayo 2022

Microsoft ha publicado las actualizaciones de seguridad del mes mayo de 2022, corrigiendo 75 vulnerabilidades. Del total, 8 han sido categorizadas como críticas, 66 como importantes y 1 con severidad baja. Estas vulnerabilidades afectan a productos como Microsoft Office, Microsoft Office Excel, Remote Desktop Client, Windows Remote Desktop, Visual Studio, Windows Server Service o Windows Kernel, entre otros. La clasificación de las vulnerabilidades según su tipología es la siguiente: 1 vulnerabilidad de suplantación (spoofing), 6 vulnerabilidades de denegación de servicio, 17 vulnerabilidades de divulgación de información, 24 vulnerabilidades de ejecución remota de código, 21 vulnerabilidades de elevación de privilegios, 4 vulnerabilidades de bypass, 1 vulnerabilidad que afecta a Magnitude Simba Amazon Redshift ODBC Driver y 1 vulnerabilidad que afecta a Azure Data Factory y Azure Synapse Pipelines. Desde el BCSC, recomendamos la aplicación de las actualizaciones para corregirlas.

Informe "Estado de la ciberseguridad en Euskadi", primer trimestre del 2022

El BCSC ha publicado el informe sobre el "Estado de la ciberseguridad en Euskadi", correspondiente al primer trimestre del 2022. Durante este tiempo, se han identificado 182.766 amenazas de diferente índole, derivando en la realización de 3.281 investigaciones tras un análisis inicial y atendiendo al nivel de criticidad de las mismas. El objetivo de este trabajo se basa en la identificación de los riesgos y amenazas más relevantes que han afectado a Euskadi durante dicho periodo para que el tejido empresarial, las administraciones públicas y la sociedad vasca los conozcan y adopten medidas de defensa a la situación de riesgo actual, en caso necesario.

Vulnerabilidades SynLapse

Microsoft ha publicado una vulnerabilidad que afecta a las canalizaciones de Azure Synapse y Azure Data Factory, y que podría permitir a un atacante ejecutar comandos remotos en la infraestructura de Integration Runtime (IR), dedicada a proporcionar funcionalidades de integración de datos en entornos de red. La vulnerabilidad, catalogada con el identificador CVE-2022-29972 y denominada SynLapse, fue descubierta sin evidencia de explotación antes de que se publicaran las correcciones. Los atacantes pueden explotar esta vulnerabilidad para acceder y controlar los espacios de trabajo de Synapse de otros clientes, lo que les permitiría filtrar datos confidenciales, incluidas las claves de servicio de Azure, los tokens de API y las contraseñas de otros servicios.

Vulnerabilidades BIG-IP

El equipo de F5 ha publicado una vulnerabilidad de ejecución remota de código en el componente iControl REST en BIG-IP, un servicio de aplicaciones ampliamente utilizado en empresas que, atendiendo a los registros de Shodan, actualmente se encuentra instalado en más de 16.000 dispositivos expuestos públicamente a Internet. La vulnerabilidad, registrada bajo el identificador CVE-2022-1388, puede permitir que atacantes no autenticados con acceso a la red ejecuten comandos arbitrarios del sistema, eliminen o modifiquen archivos y deshabiliten servicios en BIG-IP. Según lo anterior, la explotación de este fallo puede conducir a un compromiso total del sistema. Cabe destacar que, probablemente, los actores de amenazas comiencen a buscar dispositivos vulnerables en breve. Desde el BCSC, se recomienda parchear todos los dispositivos afectados lo antes posible o aplicar las mitigaciones indicadas en el apartado Mitigación / Solución.

Actualizaciones de seguridad de Android - Mayo 2022

Google ha publicado las actualizaciones de seguridad de Android del mes de mayo de 2022. En esta ocasión, se han corregido 37 vulnerabilidades de las versiones 10, 11 y 12 del sistema operativo, y componentes asociados, y 11 vulnerabilidades que afectan a los dispositivos móviles Pixel de Google en los modelos que van desde Pixel 3 a Pixel 6. De las 37 vulnerabilidades corregidas para Android, 1 tiene severidad crítica, 2 moderada y el resto, alta. En cuanto a los Google Pixel, se han corregido 11 vulnerabilidades; 2 de ellas críticas, 4 de severidad alta y 5 moderadas. Se recomienda la instalación de las correspondientes actualizaciones para corregir los fallos.

Informe de malware AgentTesla

AgentTesla es una familia de malware de tipo stealer, un software que roba información a sus víctimas, con capacidades de dropper que puede obtener tanto una parte como toda la carga maliciosa de otro recurso. Se encuentra activo desde 2014 y al igual que muchas otras familias de malware sofisticadas, los actores que se encuentran detrás del desarrollo y distribución de AgentTesla lo publican como un servicio donde se encargan de proporcionar una versión compilada del malware con la configuración necesaria para funcionar con el servidor de comando y control que los propios desarrolladores también proporcionan, manteniendo el total control del código fuente. AgentTesla se encuentra desarrollado en C#, un lenguaje de programación creado por Microsoft y que se basa en la plataforma .NET, un lenguaje que se precompila a otro intermedio al igual que hace Java. Por lo tanto, es fácil de descompilar y obtener un código bastante fiel al original. Es por ello que, para evitar que sea fácil de analizar, los desarrolladores incorporan varias capas de seguridad para evitar detecciones. La primera capa consiste en ocultar dentro de un recurso, que se trata de una supuesta imagen, un binario cifrado. Además, también incorpora sistemas de ofuscación típicos de C#, por cada uno de los diferentes binarios que va descifrando en cada una de sus diferentes fases. Su principal característica es el robo de información del equipo afectado. También puede ser utilizado como un dropper, permitiendo ejecutar cualquier tipo de muestra descargada desde un servidor web. Finalmente, para la exfiltración de la información, tiene la capacidad de que se pueda optar entre cuatro formas diferentes: petición POST vía HTTP con el contenido cifrado, correo electrónico vía SMTP, servidor FTP y petición POST vía HTTP haciendo uso del contenido "Multipart".

Vulnerabilidades Nimbuspwn

Desde el departamento de investigación de seguridad de Microsoft, han descubierto dos vulnerabilidades críticas que afectan a sistemas Linux, y que han sido identificadas con el nombre de Nimbuspwn. Estas vulnerabilidades, registradas con identificadores CVE-2022-29799 y CVE-2022-29800, se pueden encadenar para obtener privilegios de administrador en los sistemas Linux, lo que permitiría a los atacantes ejecutar malware así como realizar otras acciones maliciosas mediante la ejecución arbitraria de código root. Así mismo, las vulnerabilidades de Nimbuspwn podrían ser utilizadas por parte de amenazas más sofisticadas, como un vector de ataque para lograr acceso al sistema. Se recomienda a los usuarios de networkd-dispatcher que actualicen sus programas.

AVISO DE COOKIES

Basque Cyber Security Centre - Centro Vasco de Ciberseguridad