Se ha detallado una nueva herramienta de seguridad ofensiva llamada RAVEN, la cual demuestra cómo un entorno de Elasticsearch comprometido puede derivar en una pérdida masiva de datos y acceso persistente. La herramienta muestra que, una vez que un intruso logra acceder a un clúster expuesto o controlar Kibana, puede realizar consultas y exfiltrar bases de datos completas, manteniendo el control incluso después de que se hayan rotado las contraseñas.

Una herramienta de seguridad ofensiva detallada recientemente llamada RAVEN muestra cómo un entorno de Elasticsearch comprometido puede convertirse en un incidente de pérdida de datos con acceso persistente.

• https://github.com/karlvbiron/raven

La herramienta demuestra lo que un intruso podría hacer tras alcanzar un clúster expuesto o controlar Kibana. La ruta de ataque comienza después de que el reconocimiento y la explotación hayan abierto la puerta.

Un operador puede realizar consultas a Elasticsearch, copiar registros almacenados, crear credenciales alternativas y dejar mecanismos que restauren el acceso después de que un defensor comience la limpieza.

LevelBlue dijo en un informe que sus investigadores presentan a RAVEN como una utilidad de pruebas de penetración controladas, no como evidencia de una campaña criminal activa, pero su flujo de trabajo ilustra las consecuencias de las plataformas de datos débilmente protegidas.

La investigación utilizó laboratorios de Elasticsearch 7.17.22 basados en Docker, con y sin la seguridad de X-Pack.

Esto siguió a pruebas anteriores que alcanzaron Elasticsearch a través del puerto 9200 y obtuvieron ejecución de código a través del puerto 5601 tras el compromiso de Kibana, una ruta que resulta más preocupante debido a fallos críticos de ejecución de código en Kibana reportados en otros lugares.

La herramienta RAVEN exfiltra bases de datos completas de Elasticsearch y mantiene el acceso

El módulo de exfiltración de RAVEN puede extraer un índice elegido o exportar cada índice que no sea del sistema a archivos JSON locales delimitados por saltos de línea.

Para las versiones más recientes de Elasticsearch, utiliza la API Point-in-Time para avanzar a través de los registros; puede usar la API Scroll en versiones anteriores a la 7.10.

Por lo tanto, un solo punto de apoyo puede convertirse en una forma práctica de recolectar conjuntos de datos de clientes, pedidos o aplicaciones.

La herramienta puede reanudar la recolección interrumpida; su configuración de lotes permite que un operador intercambie velocidad por solicitudes menos conspicuas.

También puede enviar los datos copiados a un servidor de Elasticsearch controlado por el atacante, conservando los mapeos y la configuración del índice. Esto es un riesgo empresarial concreto, no una simple prueba de que los registros fueran legibles.

RAVEN también ofrece un método de instantáneas (snapshots) del lado del servidor. Un operador puede registrar un repositorio en el objetivo y crear una instantánea de índices seleccionados.

Dado que el movimiento masivo ocurre dentro de Elasticsearch en lugar de ser tráfico de red, este enfoque puede generar una actividad mucho menos visible que las consultas repetitivas. El informe indica que los repositorios y trabajos de instantáneas inusuales merecen una investigación.

La exposición de Elasticsearch y su capa de gestión sigue siendo peligrosa cuando las vulnerabilidades o las configuraciones inseguras proporcionan el punto de apoyo inicial.

Tú y tu organización deberían priorizar las correcciones, incluyendo los problemas cubiertos en parches de seguridad recientes de Elastic, y restringir el acceso a los puertos de gestión en lugar de dejarlos abiertos a redes no confiables.

Las claves API sobreviven a los cambios de contraseña

La parte más persistente de la demostración involucra las claves API de Elasticsearch. RAVEN puede listar las claves visibles para el usuario comprometido y crear una nueva clave que lleve los permisos de ese usuario.

La credencial puede autenticarse sin la contraseña del usuario, por lo que la rotación de contraseñas no finaliza automáticamente el acceso.

El informe también describe intentos de recolectar claves del índice de seguridad donde los permisos lo permitan.

Las credenciales de servicio robadas podrían darle a un intruso otra vía hacia trabajos automatizados, monitoreo o servicios internos. Revocar una clave legítima también puede interrumpirlos, convirtiendo la gestión de credenciales en un problema de disponibilidad dirigido.

El módulo de persistencia de RAVEN añade tres capas: un usuario malicioso de altos privilegios, una clave API de larga duración y una tarea de Elasticsearch Watcher.

El Watcher se ejecuta según un horario y verifica si el usuario y la clave siguen presentes. Si los defensores eliminan cualquiera de los dos pero pasan por alto el Watcher, este puede recrearlos y derrotar una limpieza parcial.

Eso cambia el plan de respuesta. Tú y tu equipo deberían inventariar usuarios, claves API, cuentas de servicio, definiciones de Watcher, repositorios y cambios de seguridad recientes antes de declarar la contención.

Deberías invalidar explícitamente las claves desconocidas, eliminar primero los Watchers no autorizados, rotar las credenciales afectadas y revisar los registros de auditoría en busca de identidades sospechosas.

La guía sobre omisiones de autenticación de claves API muestra igualmente por qué las claves emitidas necesitan su propio proceso de revisión y revocación. RAVEN registra las acciones que cambian el estado en un registro de actividad, con información para revertirlas.

Aunque esto ayuda a la limpieza de pruebas autorizadas, no puedes asumir que un atacante dejará tal registro.

La rotación de contraseñas es solo un paso de contención; la recuperación también requiere encontrar cada credencial independiente y mecanismo programado que pueda volver a abrir la puerta.

Fuentes: