{"id":961846,"date":"2024-01-12T09:36:14","date_gmt":"2024-01-12T09:36:14","guid":{"rendered":"https:\/\/magazineoffice.com\/los-dias-0-activamente-explotados-en-ivanti-vpn-permiten-a-los-piratas-informaticos-hacer-puertas-traseras-a-las-redes\/"},"modified":"2024-01-12T09:36:17","modified_gmt":"2024-01-12T09:36:17","slug":"los-dias-0-activamente-explotados-en-ivanti-vpn-permiten-a-los-piratas-informaticos-hacer-puertas-traseras-a-las-redes","status":"publish","type":"post","link":"https:\/\/magazineoffice.com\/los-dias-0-activamente-explotados-en-ivanti-vpn-permiten-a-los-piratas-informaticos-hacer-puertas-traseras-a-las-redes\/","title":{"rendered":"Los d\u00edas 0 activamente explotados en Ivanti VPN permiten a los piratas inform\u00e1ticos hacer puertas traseras a las redes"},"content":{"rendered":"<p> <br \/>\n<\/p>\n<div itemprop=\"articleBody\">\n<figure class=\"intro-image intro-left\"><figcaption class=\"caption\"\/>  <\/figure>\n<aside id=\"social-left\" class=\"social-left\" aria-label=\"Read the comments or share this article\">\n<\/aside>\n<p><!-- cache hit 1:single\/related:007696b1f6ed75b456f0421948590ceb --><!-- empty --><\/p>\n<p>Actores de amenazas desconocidos est\u00e1n apuntando activamente a dos vulnerabilidades cr\u00edticas de d\u00eda cero que les permiten eludir la autenticaci\u00f3n de dos factores y ejecutar c\u00f3digo malicioso dentro de redes que utilizan un dispositivo de red privada virtual ampliamente utilizado vendido por Ivanti, dijeron investigadores el mi\u00e9rcoles.<\/p>\n<p>Ivanti inform\u00f3 detalles b\u00e1sicos sobre los d\u00edas cero en publicaciones publicadas el mi\u00e9rcoles que instaban a los clientes a seguir las pautas de mitigaci\u00f3n de inmediato.  Registrados como CVE-2023-46805 y CVE-2024-21887, residen en Ivanti Connect Secure, un dispositivo VPN a menudo abreviado como ICS.  Anteriormente conocida como Pulse Secure, la VPN ampliamente utilizada ha albergado d\u00edas cero anteriores en los \u00faltimos a\u00f1os que fueron objeto de explotaci\u00f3n generalizada, en algunos casos con efectos devastadores.<\/p>\n<h2>Explotadores: enciendan sus motores<\/h2>\n<p>\u00abCuando se combinan, estas dos vulnerabilidades hacen que sea trivial para los atacantes ejecutar comandos en el sistema\u00bb, escribieron investigadores de la firma de seguridad Volexity en una publicaci\u00f3n que resume los hallazgos de su investigaci\u00f3n sobre un ataque que afect\u00f3 a un cliente el mes pasado.  \u00abEn este incidente en particular, el atacante aprovech\u00f3 estos exploits para robar datos de configuraci\u00f3n, modificar archivos existentes, descargar archivos remotos y realizar un t\u00fanel inverso desde el dispositivo VPN ICS\u00bb.  Los investigadores Matthew Meltzer, Robert Jan Mora, Sean Koessel, Steven Adair y Thomas Lancaster continuaron escribiendo:<\/p>\n<blockquote>\n<p>Volexity observ\u00f3 al atacante modificando componentes leg\u00edtimos de ICS y realizando cambios en el sistema para evadir la herramienta ICS Integrity Checker.  En particular, Volexity observ\u00f3 que el atacante abri\u00f3 una puerta trasera a un archivo CGI leg\u00edtimo (compcheck.cgi) en el dispositivo ICS VPN para permitir la ejecuci\u00f3n de comandos.  Adem\u00e1s, el atacante tambi\u00e9n modific\u00f3 un archivo JavaScript utilizado por el componente Web SSL VPN del dispositivo para registrar las teclas y extraer las credenciales de los usuarios que inician sesi\u00f3n.  La informaci\u00f3n y las credenciales recopiladas por el atacante le permitieron acceder a un pu\u00f1ado de sistemas internamente y, en \u00faltima instancia, obtener acceso ilimitado a los sistemas de la red.<\/p>\n<\/blockquote>\n<p>Los investigadores atribuyeron los ataques a un actor de amenazas rastreado bajo el alias UTA0178, que sospechan que es un actor de amenazas a nivel de estado-naci\u00f3n chino.<\/p>\n<aside class=\"ad_wrapper\" aria-label=\"In Content advertisement\">\n    <span class=\"ad_notice\">Anuncio <\/span>    <\/p>\n<\/aside>\n<p>Al igual que otras VPN, el ICS se encuentra en el borde de una red protegida y act\u00faa como el guardi\u00e1n que se supone debe permitir que s\u00f3lo los dispositivos autorizados se conecten de forma remota.  Esa posici\u00f3n y su estado siempre activo hacen que el dispositivo sea ideal para atacar cuando se identifican vulnerabilidades de ejecuci\u00f3n de c\u00f3digo en ellos.  Hasta ahora, los d\u00edas cero parecen haber sido explotados en peque\u00f1as cantidades y s\u00f3lo en ataques muy dirigidos, dijo en un correo electr\u00f3nico el director ejecutivo de Volexity, Steven Adair.  Continu\u00f3 escribiendo:<\/p>\n<blockquote>\n<p>Sin embargo, hay muchas posibilidades de que eso cambie.  Ahora habr\u00e1 una carrera potencial para comprometer los dispositivos antes de que se apliquen las mitigaciones.  Tambi\u00e9n es posible que el actor de la amenaza pueda compartir el exploit o que atacantes adicionales descubran el exploit.  Si conoce los detalles, el exploit es bastante trivial de realizar y no requiere autenticaci\u00f3n alguna y se puede realizar a trav\u00e9s de Internet.  El prop\u00f3sito completo de estos dispositivos es proporcionar acceso VPN, por lo que, por naturaleza, se encuentran en Internet y son accesibles.<\/p>\n<\/blockquote>\n<p>El panorama de amenazas de 2023 estuvo dominado por la explotaci\u00f3n masiva activa de un pu\u00f1ado de vulnerabilidades de alto impacto rastreadas bajo los nombres Citrix Bleed o designaciones que incluyen CVE-2022-47966, CVE-2023-34362 y CVE-2023-49103, que resid\u00edan en Citrix NetScaler Application Delivery Controller y NetScaler Gateway, el servicio de transferencia de archivos MOVEit y 24 productos vendidos por ManageEngine y ownCloud, propiedad de Zoho, respectivamente.  A menos que las organizaciones afectadas act\u00faen m\u00e1s r\u00e1pidamente que el a\u00f1o pasado para parchear sus redes, las \u00faltimas vulnerabilidades en los dispositivos Ivanti pueden recibir el mismo tratamiento.<\/p>\n<p><figure class=\"center\" style=\"width:640px\"><iframe loading=\"lazy\" src=\"https:\/\/cyberplace.social\/@GossiTheDog\/111732557100241084\/embed\" scrolling=\"no\" width=\"640\" height=\"880\" frameborder=\"0\"><\/iframe><\/figure>\n<\/p>\n<p>El investigador Kevin Beaumont, quien propuso \u00abConnect Around\u00bb como apodo para rastrear los d\u00edas cero, public\u00f3 los resultados de un escaneo que mostr\u00f3 que hab\u00eda aproximadamente 15.000 electrodom\u00e9sticos Ivanti afectados en todo el mundo expuestos a Internet.  Beaumont dijo que los piratas inform\u00e1ticos respaldados por un Estado-naci\u00f3n parec\u00edan estar detr\u00e1s de los ataques al dispositivo vendido por Ivanti.<\/p>\n<figure class=\"image shortcode-img center large\" style=\"width:100%\"><img loading=\"lazy\" decoding=\"async\" alt=\"Mapa que muestra la ubicaci\u00f3n geogr\u00e1fica de las implementaciones de ICS, lideradas por EE. UU., Jap\u00f3n, Alemania, Francia y Canad\u00e1.\" src=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2024\/01\/ivanti-connect-secure-usage-640x272.png\" width=\"640\" height=\"272\" srcset=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2024\/01\/ivanti-connect-secure-usage-1280x544.png 2x\"\/><figcaption class=\"caption\">\n<div class=\"caption-text\">Agrandar <span class=\"sep\">\/<\/span> Mapa que muestra la ubicaci\u00f3n geogr\u00e1fica de las implementaciones de ICS, lideradas por EE. UU., Jap\u00f3n, Alemania, Francia y Canad\u00e1.<\/div>\n<p>Shodan<\/p>\n<\/figcaption><\/figure>\n<\/p><\/div>\n<p><br \/>\n<br \/><a href=\"https:\/\/magazineoffice.com\/\">Source link-49<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Actores de amenazas desconocidos est\u00e1n apuntando activamente a dos vulnerabilidades cr\u00edticas de d\u00eda cero que les permiten eludir la autenticaci\u00f3n de dos factores y ejecutar c\u00f3digo malicioso dentro de redes&hellip;<\/p>\n","protected":false},"author":1,"featured_media":961847,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[21980],"tags":[23770,1312,27577,437,9844,102145,246,8,4780,9151,7640,2186,46188,23059],"_links":{"self":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/961846"}],"collection":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/comments?post=961846"}],"version-history":[{"count":1,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/961846\/revisions"}],"predecessor-version":[{"id":961848,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/961846\/revisions\/961848"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media\/961847"}],"wp:attachment":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media?parent=961846"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/categories?post=961846"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/tags?post=961846"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}