Reportado primero por Latinus y luego confirmado por el presidente de la república, Andrés Manuel López Obrador, la SEDENA fue objetivo de un ataque cibernético y le fueron robados 6 TB de documentos. El responsable es grupo hacking Guacamaya, quien hizo lo propio con milicias de países latinoamericanos como Chile y Colombia. No hackearon a la SEDENA con la vulnerabilidad ProxyShell como a las otras entidades, fue con una vulnerabilidad en Zimbra

El grupo Guacamaya, del que en días previos se reveló que ha robado 6 TB de archivos a la Secretaría de Defensa Nacional (SEDENA) luego de realizar un ataque cibernético, ha dado a conocer algunos detalles adicionales sobre el hackeo.

Lo primero que el grupo señala en un blog y en DDoSecrets, , es que algunos de los documentos de la SEDENA se encuentran disponibles públicamente, pero también apuntan a que no son los únicos atacantes que ingresaron a los servidores de la Secretaría, puesto que encontraron evidencias de que alguien más tenía acceso desde principios de julio.

• https://ddosecrets.com/wiki/Secretar%C3%ADa_de_la_Defensa_Nacional_de_M%C3%A9xico
  

Guacamaya utilizó una vulnerabilidad ProxyShell, lo que permite ejecutar código en un servidor de forma remota para acceder a varias documentaciones, pero en el caso específico de la SEDENA, se aprovechó una antigua vulnerabilidad de Zimbra.

Aprovechando un problema ya documentado

Esta plataforma, según detalla Hiram Alejandro, CEO de Seekurity, es un software para correos electrónicos y de colaboración utilizado principalmente para leer y escribir mensajes, sincronizar contactos, así como calendarios y documentos.

Sin embargo, este programa tenía dos vulnerabilidades descubiertas en 2022, mismas que afectaban únicamente a la versión de pago del servicio, que permitían a un atacante ingresar por el puerto de administrador por defecto, obtener sus privilegios y escribir archivos en el servidor, permitiendo ejecutar comandos en sistemas sin parches.

El grupo menciona que explotando esta vulnerabilidad, y luego de subir una webshell, pudieron descargar todos los correos en el directorio deseado. Incluso señalan que  en el servidor de la SEDENA había otros scripts malintencionados, algunos con fecha del 5 de julio, además de que encontraron evidencia de que otros hackers también estuvieron descargando la documentación.

Por último, Guacamaya detalla que su intención es que más personas tuvieran acceso a la información, pero su difusión representa un riesgo para mucha gente si llega a manos equivocadas.

No obstante, el grupo está otorgando esta información sin cobrar por ella, siempre y cuando se les solicite directamente, pero antes se debe identificar plenamente a la persona que desea la documentación, explicar sus propósitos con los datos, además de dar detalles sobre cómo se difundiría, si esa es la intención.

Grupo Guacamaya también vulneró con el mismo mecanismo a la Policía Nacional Civil de El Salvador, al Comando General de las Fuerzas Militares de Colombia, a la Fuerza Armada de El Salvador y al Ejército de Perú. La cantidad de datos robados varía entre 35 y 275 GB según la organización, salvo para la Policía Nacional Civil de El Salvador, cuyo robo ascendió a 4 TB,  y a la SEDENA, cuyo robo fue de 6 TB.

• Policía Nacional Civil de El Salvador (4 TB, @pnc.gob.sv)
• Comando General de las Fuerzas Militares de Colombia (275 GB, @cgfm.mil.co)
• Fuerza Armada de El Salvador (50 GB, @faes.gob.sv)
• Comando Conjunto de las Fuerzas Armadas de Perú (35 GB, @ccffaa.mil.pe)
• Ejercito del Perú (70 GB, @ejercito.mil.pe)

Grupo Guacamaya se reconoce a sí mismo como un grupo de hacktivismo.

Una cuenta NO OFICIAL correspondiente a Grupo Guacamaya, ha tuiteado que el objetivo de las filtraciones es que los latinoamericanos "sepan la verdad acerca de lo que está pasando en cada país", y agradece a Latinus y a Carlos Loret por difundir información de la filtración, desde detalles sobre una hospitalización del presidente, hasta información sobre operativos de seguridad, como aquel en el que se capturó y liberó a Ovidio Guzmán.

La operación ha sido monitoreada por especialistas en ciberseguridad desde el pasado 19 de septiembre. Fue entonces cuando el investigador de la empresa de ciberseguridad Cronup, Germán Fernández, tuiteó que el grupo aprovechó la vulnerabilidad ProxyShell (notificada desde agosto del 2021 y que permite ejecutar remotamente código en el servidor) para acceder a servidores Microsoft Exchange de las organizaciones. Aunque finalmente el grupo ha dicho que la vulnerabilidad utiliza fue Zimbra

Fuentes:
https://www.xataka.com.mx/seguridad/grupo-que-hackeo-sedena-dice-que-no-fueron-unicos-entrar-a-servidores-habia-evidencia-que-alguien-tenia-acceso

https://www.xataka.com.mx/seguridad/alguien-hackeo-a-secretaria-defensa-nacional-mexico-a-sedena-le-robaron-6-tb-documentos-esto-que-sabemos