Aquí tienes el resumen: Huntress analiza un incidente donde un atacante entró a un servidor mediante una vulnerabilidad de inyección SQL. En lugar de actuar rápido, el intruso se tomó tiempo para crear puertas traseras, desactivar el antivirus e instalar malware para fraudes web y minería de criptomonedas. El caso resalta que no basta con eliminar el malware; es fundamental identificar y cerrar el punto de entrada original para evitar que el atacante regrese.




La mayoría de nosotros en TI gastamos nuestra energía tratando de mantener fuera a los atacantes. Pero un incidente reciente investigado por Huntress nos dice mucho sobre lo que sucede después de que un atacante entra (y por qué esto es igual de importante).

Una vez que un atacante ha obtenido el acceso inicial, no se apresuran directamente al robo rápido, realizando acciones como robar datos, cifrar archivos o desplegar ransomware. En su lugar, se toman tiempo para permanecer y establecerse: creando puertas traseras, cubriendo sus huellas y desactivando las herramientas destinadas a capturarlos.

Esta publicación analiza un incidente real de junio [https://www.huntress.com/blog/sql-injection-attacker-persistence] donde un atacante hizo un trabajo inusualmente exhaustivo al hacer exactamente eso. Veremos dónde el actor de la amenaza tomó medidas agresivas para modificar el entorno después de ganar el acceso inicial y qué significa esto para la forma en que los defensores deben pensar sobre la limpieza posterior a una brecha.

¿Cómo entraron?

El equipo de seguridad de Huntress notó primero una actividad sospechosa vinculada a un proceso de Microsoft SQL Server. Al investigar, los analistas descubrieron que el atacante no había ido directamente tras la base de datos.

En su lugar, encontraron una página web en el mismo servidor que no estaba verificando correctamente la entrada del usuario, una vulnerabilidad clásica de inyección SQL. Ese fallo permitió al atacante acceder a la máquina Windows subyacente.

Vale la pena señalar: la inyección SQL [https://www.huntress.com/cybersecurity-101/topic/sql-injection] sigue siendo una de las vulnerabilidades de aplicaciones web más comunes (y más prevenibles). Ocurre cuando un sitio web toma información que un visitante escribe, como un cuadro de búsqueda o un formulario de inicio de sesión, y la pasa directamente a una base de datos sin verificar que sea realmente segura de usar.

aprenda a derrotar a los hackers en tradecraft tuesday con huntress

El oficio de los hackers evoluciona diariamente, ¡así que analicémoslo en Tradecraft Tuesday!

Únase a nosotros mensualmente para una mirada profunda al oficio del atacante, sin charlas de ventas ni de productos. Regístrese en la serie hoy o póngase al día con los episodios anteriores. Sin trucos, solo oficio.

Regístrese para Tradecraft Tuesday [https://www.huntress.com/community-series/tradecraft-tuesday?utm_source=bleepingcomputer&utm_medium=article&utm_campaign=cy26-07-camp-multi-global-broad-all-x-x-unwanted_int-bleeping_computer&hnt=sefgsz79jhy0]

Estudiando el lugar

Una vez dentro, el atacante no actuó precipitadamente. Ejecutó un comando integrado de Windows que enumera qué servicios se están ejecutando en la máquina, un paso simple de reconocimiento que los atacantes utilizan comúnmente para determinar qué vale la pena atacar o bajo qué procesos podrían disfrazar la actividad maliciosa.

Incluso enviaron los resultados de ese escaneo a un servidor que controlaban, probablemente para revisarlos más tarde o alimentarlos en herramientas automatizadas.

Figura 1: Acceso inicial y reconocimiento

A partir de ahí, el atacante se puso a trabajar para hacer del entorno el suyo propio:

* Activaron el acceso por Escritorio Remoto, que no estaba habilitado previamente.
* Crearon una nueva cuenta de usuario y la agregaron al grupo de Administradores locales, otorgándoles un acceso instantáneo de alto nivel que también sobreviviría a un reinicio o a una limpieza básica.
* Iniciaron sesión a través de Escritorio Remoto utilizando esa nueva cuenta.
* Desactivaron Windows Defender, el antivirus integrado de Microsoft. Aunque, cabe destacar, dejaron intactas otras herramientas de monitoreo de seguridad (como EDR). Esto es un poco inusual y sugiere que o bien no notaron que el EDR estaba presente o no tenían una forma de desactivarlo.

Figura 2: Construyendo un punto de apoyo y desactivando defensas

Convirtiendo el servidor web en un arma

El atacante luego instaló un par de complementos maliciosos para el software de servidor web Internet Information Services (IIS) que se ejecuta en la máquina.

Estos complementos son parte de una familia de malware conocida llamada BadIIS, que se utiliza típicamente para secuestrar el tráfico legítimo de sitios web para el fraude de motores de búsqueda, redireccionando visitantes, inyectando enlaces ocultos o sirviendo contenido diferente al que el sitio real pretendía.

Básicamente, convierte el servidor web de otra persona en una herramienta para manipular los rankings de búsqueda y el tráfico de anuncios, todo sin el conocimiento del propietario del sitio web.

Figura 3: Instalando los módulos BadIIS

minando criptomonedas silenciosamente

A continuación, el atacante dejó un programa de minería de criptomonedas en la máquina, una forma común para que los atacantes extraigan valor adicional de los sistemas comprometidos utilizando su potencia de procesamiento para generar criptomonedas, todo a cargo de la factura eléctrica de la víctima.

Figura 4: Desplegando el minero de criptomonedas XMRig

Para mantenerlo oculto, hicieron lo siguiente:

* Disfrazaron los archivos del programa de minería marcándolos como ocultos, de sistema y de solo lectura, el tipo de atributos de archivo que hacen que algo sea menos probable que aparezca durante una mirada casual a través del Explorador de archivos.
* Configuraron el minero para que se ejecute como un servicio de Windows utilizando una herramienta de administración legítima y gratuita, asegurando que se iniciaría automáticamente y seguiría funcionando incluso después de un reinicio.
* Instalaron una herramienta adicional diseñada para ayudar al malware a evitar la detección.

Figura 5: Desplegando las cargas útiles

scripts, scripts y más scripts

Durante todo el ataque, el intruso descargó una serie de scripts de PowerShell y archivos batch desde servidores externos, una forma común de traer herramientas maliciosas adicionales sin tener que incluir todo en el ataque inicial.

También utilizaron PowerShell de una manera específicamente diseñada para ejecutarse silenciosamente: sin ventanas visibles, sin avisos de seguridad y sin restricciones de las políticas de ejecución de scripts de Windows.

Individualmente, ninguna de estas técnicas es innovadora. Los atacantes instalan malware e intentan cubrir sus huellas todo el tiempo.

Lo que destacó para los analistas de Huntress fue la cantidad de cambios diferentes que este único atacante empaquetó en un solo incidente, en una sola máquina.

Si desea echar un vistazo a nuestra investigación completa de este incidente, consúltela aquí [https://www.huntress.com/blog/sql-injection-attacker-persistence] .

qué significa esto para los defensores

Es natural sentir que tenemos la "ventaja de campo" como las personas que poseen y gestionan nuestros propios sistemas. Pero sin un plan sólido para bloquear las cosas y vigilar la actividad sospechosa, un atacante que entra puede invertir esa ventaja, remodelando el entorno para adaptarse a sus propios objetivos, a menudo mucho más allá de simplemente desactivar el antivirus y dejar malware.

La lección más importante aquí: encontrar y corregir el punto de entrada importa tanto como limpiar el desastre dejado.

En este caso, ese punto de entrada era un campo de entrada no validado en una página web. Si un equipo hubiera eliminado todas las herramientas y cuentas del atacante pero nunca hubiera corregido el fallo subyacente de inyección SQL, el atacante simplemente podría haber vuelto a entrar por la misma puerta abierta, y la próxima vez podría ser más difícil de capturar.

pasos prácticos a seguir

Recomendamos comenzar con lo básico: saber qué tiene. Construya (y mantenga actualizado) un inventario de cada sistema físico y virtual, además de cada aplicación y su versión, en todo su entorno. A partir de ahí:

* Reduzca su superficie de ataque. Menos servicios y aplicaciones expuestas significan menos oportunidades para los atacantes.
* Elimine cualquier cosa innecesaria o no autorizada. Si no es necesario, no vale el riesgo.
* Bloquee el acceso. Solo los usuarios autorizados deben tener acceso, y la autenticación multifactor (MFA) debe ser la norma siempre que sea posible.
* Mantenga todo actualizado y monitoreado. Cada aplicación activa debe ser parcheada regularmente e incluida en su cobertura de monitoreo.
* Investigue la causa raíz, siempre. Cuando detecte un incidente, no se detenga en la eliminación del malware obvio; descubra exactamente cómo entró el atacante y use ese hallazgo para fortalecer sus defensas en el futuro.

Los atacantes cuentan con que los defensores se detengan en la limpieza superficial. Cavar más profundo (hasta el punto real de entrada) es lo que mantiene la ventaja de campo donde pertenece: con usted.

tradecraft tuesday: sin productos. sin discursos. solo hacks.

Tradecraft Tuesday proporciona a los profesionales de la ciberseguridad un análisis profundo de los actores de amenazas más recientes, los vectores de ataque y las estrategias de mitigación. Cada sesión semanal presenta recorridos técnicos de incidentes recientes, desgloses exhaustivos de tendencias de malware e indicadores de compromiso (IOC) actualizados.

Los participantes obtienen:

* Informes detallados sobre campañas de amenazas emergentes y variantes de ransomware
* Metodologías de defensa basadas en evidencia y técnicas de remediación
* Interacción directa con analistas de Huntress para obtener conocimientos sobre respuesta a incidentes
* Acceso a inteligencia de amenazas accionable y guía de detección

Regístrese para Tradecraft Tuesday → [https://www.huntress.com/community-series/tradecraft-tuesday?utm_source=bleepingcomputer&utm_medium=article&utm_campaign=cy26-07-camp-multi-global-broad-all-x-x-unwanted_int-bleeping_computer&hnt=sefgsz79jhy0]

Mejore su postura defensiva con inteligencia en tiempo real y educación técnica diseñada específicamente para aquellos responsables de salvaguardar el entorno de su organización.

Patrocinado y escrito por Huntress Labs [https://www.huntress.com/?utm_source=bleepingcomputer&utm_medium=article&utm_campaign=cy26-07-camp-multi-global-broad-all-x-x-unwanted_int-bleeping_computer&hnt=sefgsz79jhy0] .

Fuente:
BleepingComputer