Una vulnerabilidad crítica en Apache ActiveMQ ha sido explotada activamente por actores de amenazas, llevando al despliegue completo del ransomware LockBit en una red empresarial.

Los atacantes aprovecharon CVE-2023-46604, una falla de ejecución remota de código en el broker de mensajería ActiveMQ, para infiltrarse en un servidor Windows expuesto y, finalmente, cifrar sistemas a través del Protocolo de Escritorio Remoto (RDP), abarcando aproximadamente 19 días naturales desde el acceso inicial hasta el cifrado total.

El ataque comenzó a mediados de febrero de 2024, cuando un actor de amenazas envió un comando OpenWire especialmente diseñado a un servidor Apache ActiveMQ accesible públicamente.

El exploit hizo que el servidor cargara un archivo de configuración remoto de Java Spring XML, que instruyó al host comprometido a descargar un stager de Metasploit utilizando la utilidad Windows CertUtil.

Una vez ejecutado, el stager abrió un canal de comando y control hacia un servidor controlado por el atacante en la dirección IP 166.62.100[.]52.

En menos de 40 minutos tras obtener ese primer punto de apoyo, el atacante ya había escalado a privilegios de SYSTEM y comenzado a extraer credenciales de la memoria del proceso LSASS en el host inicial.

Los analistas de The DFIR Report identificaron que los atacantes fueron expulsados del entorno al segundo día de la intrusión, pero como el servidor vulnerable de ActiveMQ nunca fue parcheado, la misma vía de explotación permaneció abierta.

Dieciocho días después de la primera brecha, los actores de amenazas regresaron utilizando la misma técnica de CVE-2023-46604, cambiando únicamente los nombres de los archivos descargados tras la explotación.

El reingreso fue mucho más fácil gracias a una cuenta de servicio privilegiada cuyas credenciales habían sido robadas silenciosamente de la memoria LSASS durante la primera intrusión, proporcionando a los atacantes una ruta directa y lista para volver a la red.

Al regresar, los atacantes confirmaron su acceso como administradores de dominio y ejecutaron una herramienta de escaneo de red disfrazada —Advanced IP Scanner empaquetado para parecerse a SoftPerfect Network Scanner— para enumerar hosts activos en el entorno.

Luego movieron ejecutables del ransomware LockBit a servidores y estaciones de trabajo a través de sesiones RDP, utilizando dos archivos: LB3.exe y LB3_pass.exe.

En servidores de archivos y copias de seguridad, el ransomware se ejecutó con argumentos específicos de ruta y contraseña, mientras que en otros hosts se ejecutó con un simple doble clic en la interfaz de Windows Explorer.

Las notas de rescate dejadas a las víctimas apuntaban a la aplicación de mensajería privada Session, en lugar de a la infraestructura oficial de LockBit, lo que indica que se trataba de un actor independiente que construyó su ransomware utilizando el generador filtrado LockBit Black.

El tiempo total hasta el ransomware fue de 419 horas —poco más de 19 días desde la primera explotación hasta el cifrado completo—. Si los defensores no hubieran detectado la fase inicial de intrusión, los atacantes habrían tenido menos de 90 minutos desde el reingreso antes de que el ransomware comenzara a ejecutarse en toda la red.

Robo de credenciales impulsa el movimiento lateral

Tras obtener acceso de nivel SYSTEM en el host inicial, el proceso de Metasploit accedió a la memoria del proceso LSASS en cuatro hosts distintos durante la primera ronda de intrusión.

Los registros de Sysmon capturaron el valor GrantedAccess de 0x1010 —que otorga acceso de lectura a la memoria virtual— junto con una entrada CallTrace UNKNOWN, un indicador confiable de código inyectado que realiza el volcado sin dejar un rastro de proceso estándar.

Uno de los hosts objetivo ejecutaba una aplicación de producción vinculada a una cuenta de servicio privilegiada, y esa única cuenta se convirtió en el puente que los actores de amenazas utilizaron para volver a la red 18 días después.

Cuando los atacantes regresaron el día 18, utilizaron esa cuenta de servicio robada para crear servicios de forma remota y ejecutar cargas útiles de Metasploit en controladores de dominio y múltiples servidores.

Los comandos de PowerShell que transportaban esas cargas útiles estaban ofuscados mediante concatenación de cadenas, codificación Base64 y compresión gzip apiladas unas sobre otras.

Tras la decodificación, el shellcode asignó regiones de memoria utilizando VirtualAlloc, cambió su atributo de protección a ejecutable con VirtualProtect y luego generó un hilo para ejecutar la carga útil inyectada en memoria —un método comúnmente utilizado para evitar la detección basada en firmas en los endpoints.

En hosts donde Microsoft Defender estaba activo, esta actividad fue detectada y bloqueada; los sistemas sin protección fueron comprometidos por completo.

Para cubrir sus huellas y mantener un punto de apoyo, los atacantes instalaron silenciosamente AnyDesk en el host inicial, configurándolo como un servicio de inicio automático.

Un archivo por lotes llamado rdp.bat abrió el puerto 3389 del firewall para permitir conexiones RDP y fue eliminado aproximadamente seis minutos después de su ejecución.

Los registros de eventos de Windows System, Application y Security en el host inicial fueron borrados, y el binario legítimo SystemSettingsAdminFlows.exe fue abusado en el servidor Exchange para desactivar Windows Defender.

Indicadores de Compromiso (IOCs)

Las organizaciones deben parchear inmediatamente Apache ActiveMQ para abordar CVE-2023-46604, aplicar protección de LSASS mediante Credential Guard, monitorear la actividad de limpieza de registros de eventos, restringir la instalación de herramientas de acceso remoto no autorizadas y restablecer todas las credenciales tras cualquier intrusión sospechosa para evitar el reingreso mediante cuentas robadas.