Investigadores de seguridad han detectado una campaña de ataques sofisticada en la que se utilizó una herramienta de gestión empresarial legítima como arma. El atacante logró entrar a través de un proveedor de servicios de TI externo comprometido y se desplazó por el entorno de la víctima utilizando herramientas ya aprobadas, evitando así el uso de malware evidente.

Una intrusión reciente descubierta por investigadores de seguridad reveló una campaña de ataque calculada que utilizó una herramienta de gestión empresarial legítima como arma.

El actor de la amenaza obtuvo acceso a través de un proveedor de servicios de TI externo comprometido y luego se movió silenciosamente por el entorno de la víctima utilizando herramientas que ya estaban aprobadas y en funcionamiento.

No se desplegó ningún malware obvio y no se activaron alertas ruidosas en ninguna etapa del ataque.

Los investigadores de Respuesta a Incidentes de Microsoft analizaron la cadena completa del ataque y publicaron sus hallazgos, señalando que la campaña abusó del HPE Operations Agent (OA), una herramienta de monitoreo empresarial ampliamente utilizada, como su mecanismo principal de entrega.

Microsoft dijo en un informe compartido con Cyber Security News (CSN) que el abuso no implicó ninguna falla o vulnerabilidad en el propio HPE OA.

La herramienta fue simplemente convertida en arma porque ya tenía un acceso legítimo y confiable en todo el entorno objetivo.

La campaña se extendió durante más de 100 días, desde la intrusión inicial hasta el momento en que finalmente se activó la respuesta a incidentes.

Atacantes utilizando el agente de confianza HPE Operations Agent

Durante ese tiempo, los atacantes recolectaron credenciales, se movieron lateralmente a través de sistemas sensibles, incluidos controladores de dominio y servidores SQL, y establecieron túneles encubiertos utilizando ngrok para mantener un acceso persistente sin ser detectados.

Dado que toda la actividad fluía a través de un canal de gestión confiable, se mezcló a la perfección con el trabajo administrativo rutinario y permaneció fuera del radar durante un período prolongado.

La escala y la paciencia de esta campaña resaltan un cambio más amplio en la forma en que operan los atacantes sofisticados hoy en día.

Ya no se miden por la sofisticación de su malware, sino por la eficacia con la que pueden desaparecer dentro de un entorno confiable y permanecer allí sin ser detectados durante meses.

El actor de la amenaza explotó la confianza depositada en HPE Operations Manager (HPOM), que era gestionado por un proveedor de servicios de TI externo en nombre de la organización afectada.

Desde esa posición, el atacante envió VBScripts, específicamente un archivo llamado abc003.vbs, a múltiples servidores, incluidos servidores web y controladores de dominio en todo el entorno.

Estos scripts recopilaron silenciosamente información del sistema, mapearon la red y realizaron el descubrimiento de Active Directory.

Dado que los scripts se ejecutaron a través de una plataforma de gestión aprobada y firmada, ninguna herramienta de seguridad dio la alarma.

El atacante también desplegó web shells llamadas Errors.aspx y una versión modificada de Signoff.aspx en servidores orientados a internet, creando puertas traseras persistentes que permanecían activas incluso si otras herramientas individuales eran descubiertas y eliminadas del sistema.

Tácticas de robo de credenciales y movimiento lateral

Una vez dentro, los atacantes centraron su atención en robar credenciales directamente en la fuente. Registraron una DLL de proveedor de red maliciosa llamada mslogon.dll en los controladores de dominio, que se enganchó al proceso de autenticación de Windows y capturó nombres de usuario y contraseñas en texto plano cada vez que un usuario iniciaba sesión o cambiaba su contraseña.

Las credenciales robadas se guardaban silenciosamente en una ruta de archivo dentro de una carpeta de música pública, facilitando su recuperación posterior sin llamar la atención.

Más adelante en la campaña, también se registró una DLL de filtro de contraseñas llamada passms.dll en dos controladores de dominio, interceptando credenciales a nivel de sistema cada vez que se modificaba una contraseña.

Un módulo complementario llamado msupdate.dll trabajó junto a él para transferir los datos capturados a través de un recurso compartido de archivos de red e incluso tenía la capacidad de enviar las credenciales robadas por correo electrónico bajo el asunto “Update Service”.

El atacante también desplegó ngrok en servidores internos para crear túneles cifrados, permitiendo sesiones de Protocolo de Escritorio Remoto (RDP) sin necesidad de exponer puertos del firewall.

Microsoft recomienda que las organizaciones desplieguen herramientas de detección y respuesta de endpoints (EDR) en todos los dispositivos y apliquen un modelo de denegación por defecto para el tráfico saliente a fin de bloquear conexiones no autorizadas.

También aconsejan habilitar el registro detallado en los servidores web, eliminar herramientas y software innecesarios que puedan ser abusados y monitorear activamente cambios inesperados en las configuraciones de autenticación, como los paquetes de notificación LSA y los registros de proveedores de red, para detectar este tipo de abuso sigiloso antes de que cause más daños.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Nombre de archivo	abc003.vbs	VBScript desplegado vía HPE Operations Manager para descubrimiento de sistema, red y AD
Nombre de archivo	Errors.aspx	Web shell inicial desplegada en servidores web WEB-01 y WEB-02 orientados a internet
Nombre de archivo	Signoff.aspx	Página de aplicación legítima modificada para cargar una web shell secundaria
Nombre de archivo	ghost.inc	Web shell secundaria cargada desde el directorio temporal de Windows
Nombre de archivo	mslogon.dll	DLL de proveedor de red maliciosa registrada en controladores de dominio para capturar credenciales en texto plano
Nombre de archivo	passms.dll	DLL de filtro de contraseñas maliciosa registrada en DC01 y DC02 para interceptar credenciales durante cambios de contraseña
Nombre de archivo	msupdate.dll	Módulo complementario que transfería datos de credenciales codificados vía SMB y exfiltración por correo electrónico
Ruta de archivo	C:\Users\Public\Music\abc123c.d	Ruta de archivo donde se almacenaban las credenciales en texto plano capturadas por mslogon.dll
Ruta de archivo	C:\ProgramData\WindowsUpdateService\UpdateDir\Ipd	Ruta de archivo donde se escribían los datos de credenciales codificados capturados por passms.dll
Nombre de archivo	icon02.jpeg	Nombre de archivo utilizado para disfrazar los datos de credenciales exfiltrados escritos en recursos SMB remotos
Herramienta	ngrok	Herramienta de tunelización legítima abusada para exponer servidores internos vía túneles RDP cifrados
Asunto de Email	Update Service	Línea de asunto utilizada por msupdate.dll para la exfiltración saliente de credenciales vía SMTP

Nota: Las direcciones IP y los dominios se han desarmado intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/microsoft-warns-of-attackers-using-trusted-hpe-operations-agent/