La investigación de Aqua Nautilus revela que los hackers están aprovechando servidores Jupyter Notebook vulnerables y mal configurados para robar retransmisiones deportivas en directo. Conozca las técnicas utilizadas, los riesgos que entrañan y cómo proteger a su organización de ataques similares.

Los investigadores de ciberseguridad de Aqua Nautilus descubrieron una novedosa técnica de ataque en la que los actores de la amenaza aprovechaban servidores JupyterLab y Jupyter Notebook mal configurados para retransmitir ilegalmente eventos deportivos, soltar herramientas de captura de retransmisiones en directo y duplicar las emisiones en su servidor ilegal, provocando el ripeo de las retransmisiones.

Por desgracia, la retransmisión ilegal en directo de acontecimientos deportivos es un problema cada vez mayor, que afecta a emisoras, ligas y plataformas legítimas. Con herramientas de streaming fácilmente disponibles e Internet de alta velocidad, las retransmisiones no autorizadas están floreciendo, causando pérdidas económicas tanto a las grandes ligas como a los equipos más pequeños que dependen de los ingresos por espectadores.

«El problema está muy extendido: 5,1 millones de adultos de Inglaterra, Escocia y Gales admitieron haber visto una transmisión ilegal durante los seis primeros meses del año pasado», señalan los investigadores en la entrada del blog. 

En este caso, la señal de alarma era la aparentemente inofensiva herramienta ffmpeg. Este software de código abierto se utiliza ampliamente para el procesamiento y la transmisión de vídeo. Aunque la inteligencia de amenazas confirmó su legitimidad, una inspección más detallada reveló un giro. Los atacantes aprovecharon entornos JupyterLab y Jupyter Notebook mal configurados para obtener acceso y desplegar ffmpeg para la reproducción de secuencias en directo.

El ataque comenzó con la explotación del acceso no autenticado a JupyterLab o Jupyter Notebook, lo que permitió la ejecución remota de código. A continuación, los atacantes actualizaron el servidor y descargaron ffmpeg, que fue reutilizado para capturar retransmisiones deportivas en directo y redirigirlas a un servidor malicioso.

Esto revela que el marco MITRE ATT&CK se utilizó en un ataque, en el que los adversarios obtuvieron acceso a través de entornos Jupyter Notebook y JupyterLab mal configurados. Los atacantes instalaron y ejecutaron ffmpeg, exfiltraron contenido de vídeo y utilizaron el ancho de banda de la víctima para transferir los datos de streaming robados.

Esta explotación puede resultar en «denegación de servicio, manipulación de datos, robo de datos, corrupción de procesos de IA y ML, movimiento lateral a entornos más críticos y, en el peor de los casos, daños financieros y de reputación sustanciales», explicaron los investigadores.

Aunque aparentemente menor en su impacto inmediato en las organizaciones, el ataque indica la importancia del análisis del comportamiento. Las soluciones de seguridad tradicionales podrían pasar por alto este tipo de actividad. Sin embargo, el inusual despliegue y ejecución de ffmpeg para la captura de secuencias en directo alertó al equipo de seguridad de Aqua Nautilus. Analizando el tráfico de red, los archivos y los volcados de memoria, Aqua Nautilus pudo reconstruir toda la secuencia del ataque.

Sin duda, JupyterLab y Jupyter Notebook son activos valiosos para los científicos de datos, pero los fallos de seguridad pueden dejarlos vulnerables. A menudo, estos servidores son gestionados por personas sin una sólida formación en seguridad.

Dejarlos conectados a Internet con acceso abierto o cortafuegos débiles permite a los actores de amenazas aprovecharlos para atacar. El mal uso de los tokens es otro motivo de preocupación, ya que los tokens expuestos pueden permitir el acceso total. Afortunadamente, la aplicación de las mejores prácticas, como IP restringidas, autenticación fuerte, HTTPS y gestión adecuada de tokens, puede reducir en gran medida estos riesgos.

Fuentes:

https://hackread.com/hackers-exploit-misconfigured-jupyter-servers-sports-streaming/