Investigadores del Centro de Defensa Cibernética de Ontinue han descubierto una amenaza significativa: atacantes están utilizando Nezha, una herramienta legítima de monitoreo de servidores de código abierto, para acceder a sistemas comprometidos después de una explotación inicial. El descubrimiento revela cómo actores de amenazas sofisticados reutilizan software benigno para obtener control total sobre los sistemas comprometidos, al tiempo que evaden los mecanismos de detección de seguridad tradicionales. Nezha, originalmente desarrollada para la comunidad de TI china

Investigadores del Centro de Defensa Cibernética de Ontinue han descubierto una amenaza significativa ya que los atacantes explotan Nezha, una herramienta legítima de monitoreo de servidores, para acceso post-explotación.

El descubrimiento revela cómo actores de amenazas sofisticados reutilizan software benigno para obtener el control total de los sistemas comprometidos mientras evaden los mecanismos de detección de seguridad tradicionales.

Nezha, originalmente desarrollada para la comunidad de TI china, ha obtenido casi 10.000 estrellas en GitHub y sirve a administradores legítimos en el monitoreo de múltiples servidores, el seguimiento del uso de recursos y la realización de mantenimiento remoto.

La arquitectura de la herramienta comprende un servidor de panel central que coordina agentes ligeros implementados en los sistemas monitoreados, lo que permite la observación de la salud del sistema, la ejecución de comandos, la transferencia de archivos y sesiones de terminal interactivas.

Sin embargo, estas mismas capacidades que hacen que Nezha sea valiosa para un uso legítimo la han convertido en un objetivo atractivo para los actores maliciosos que buscan acceso remoto no detectado.

Los analistas e investigadores de Ontinue identificaron el malware que se está utilizando durante una investigación de incidentes post-explotación.

Un script de bash de implementación reveló los detalles de la infraestructura del atacante, incluidas las direcciones del servidor de comando y control, los tokens de autenticación y una configuración TLS deshabilitada.

El script contenía mensajes de estado en chino escritos de forma natural, lo que sugiere que un hablante nativo lo escribió.

Significativamente, los actores de amenazas lograron comprometer cientos de puntos finales utilizando esta técnica, lo que demuestra la escala de la amenaza.

La Estrategia de Despliegue del Actor de Amenazas

El enfoque del atacante demuestra una artesanía operativa sofisticada. El script de bash incluía parámetros de configuración que apuntaban a un servidor C2 alojado en los servicios de Alibaba Cloud en la dirección IP 47.79.42.91, geolocalizada en Japón.

La instalación se produjo silenciosamente en los sistemas objetivo, y la detección solo se activó cuando los atacantes ejecutaron comandos a través del agente. Los investigadores de Ontinue accedieron al panel del actor de amenazas en un sandbox en un entorno, descubriendo el alcance total de la infraestructura comprometida.

Lo que hace que Nezha sea particularmente peligrosa es que, cuando se implementa, el agente se ejecuta con privilegios de SISTEMA en Windows y acceso de root en Linux.

Esto ocurre porque el agente requiere permisos elevados para leer las métricas del sistema y administrar los procesos.

Cuando los atacantes solicitan sesiones de terminal, el contexto del proceso heredado garantiza que el acceso de shell se opere con capacidades administrativas completas. Esto elimina cualquier requisito de elevación de privilegios que de otro modo podría alertar a los defensores.

El binario legítimo logró cero detecciones en 72 proveedores de seguridad en VirusTotal porque genuinamente es software legítimo dirigido a la infraestructura del atacante. La evasión de la detección se vuelve trivial cuando el binario real no contiene código malicioso, solo puntos finales C2 mal configurados.

La gestión de archivos, la ejecución de comandos y las capacidades de terminal interactivas proporcionan un control post-compromiso completo sin necesidad de herramientas adicionales o desarrollo de cargas útiles personalizadas.

Las organizaciones deben buscar inmediatamente la presencia de Nezha e implementar el monitoreo del comportamiento para identificar actividades de terminal sospechosas y operaciones de archivos que indiquen un compromiso.

Fuentes:
https://cybersecuritynews.com/threat-actors-weaponizing-nezha-monitoring-tool/