Un ataque coordinado con zero-days llega a principios de septiembre

Investigadores de seguridad de Volexity han vinculado a un actor de amenazas conocido como UTA0565 con una ola de ataques que tuvo lugar los días 3 y 4 de septiembre. Según los hallazgos de Volexity, el grupo encadenó tres vulnerabilidades zero-day distintas, dos en Google Chrome y una en Windows, para comprometer a objetivos a través de sitios web falsificados diseñados para parecer legítimos. El objetivo final de la operación era desplegar un programa malicioso que los investigadores han denominado CLEANGULP.

Los zero-days, vulnerabilidades que se explotan antes de que un proveedor haya publicado un parche, se encuentran entre las herramientas más peligrosas del arsenal de un atacante, porque no hay una corrección disponible en el momento del ataque. Encadenar tres de ellos, abarcando tanto un navegador como un sistema operativo, sugiere un actor con buenos recursos y técnicamente sofisticado. No se trata de una campaña de ataque rápido y oportunista; refleja una planificación cuidadosa y acceso a capacidad de desarrollo de exploits que normalmente es costosa de adquirir o construir.

Cómo entra CLEANGULP y cómo se mantiene

Según el informe de Volexity, la cadena de ataque comienza con un sitio falsificado al que se induce a la víctima a visitar. Una vez allí, los zero-days de Chrome se utilizan para obtener ejecución de código inicial dentro del navegador, y luego el zero-day de Windows se usa para escalar ese acceso y salir de los límites de seguridad normales del navegador. A partir de ahí, CLEANGULP se instala en la máquina de la víctima.

Los defensores que revisan los indicadores de compromiso publicados por Volexity ahora tienen visibilidad sobre cómo CLEANGULP establece persistencia en los sistemas infectados, junto con los archivos específicos que deja caer y la infraestructura de mando y control (C2) con la que se comunica. Para los equipos de seguridad, estos detalles importan porque convierten una amenaza abstracta en algo que realmente pueden buscar en registros, telemetría de endpoints y tráfico de red. Las guías de búsqueda como esta son valiosas precisamente porque permiten a las organizaciones comprobar si ya fueron afectadas por la campaña, en lugar de esperar a descubrirlo después de los hechos.

Este patrón, en el que un único punto de entrada comprometido se utiliza para escalar privilegios y dejar caer una carga maliciosa personalizada, se está convirtiendo en un tema recurrente en las recientes divulgaciones de zero-days. Se observaron tácticas de escalada similares cuando se explotaron zero-days de SonicWall SMA para desplegar malware personalizado, y de nuevo cuando los hackers de UTA0533 explotaron zero-days de SonicWall SMA para obtener un punto de apoyo en redes empresariales. Los atacantes favorecen cada vez más la explotación encadenada porque les permite eludir defensas por capas que fueron diseñadas para detener un único punto de fallo.

Por qué esto importa más allá de la empresa

Es tentador tratar una cadena de zero-days de navegador y sistema operativo como un problema puramente de seguridad empresarial, pero la realidad es más amplia. Chrome es uno de los navegadores más utilizados del mundo, y Windows sigue siendo el sistema operativo de escritorio dominante tanto para empresas como para particulares. Una campaña de sitios falsificados no requiere que la víctima trabaje en una empresa concreta; solo requiere que alguien, en cualquier lugar, haga clic en un enlace malicioso. Eso hace que este tipo de ataque sea una preocupación de privacidad para los usuarios cotidianos, así como una preocupación de seguridad para los departamentos de TI.

Una vez que CLEANGULP está instalado, un atacante con persistencia en un dispositivo puede potencialmente acceder a archivos personales, historial de navegación, credenciales guardadas y comunicaciones, dependiendo de lo que el malware esté diseñado para recopilar. Incluso los usuarios que nunca interactúan directamente con las organizaciones inicialmente atacadas por UTA0565 podrían verse afectados si visitan un sitio falsificado configurado como parte de la misma infraestructura. Esto es coherente con una tendencia más amplia de explotación de zero-days que va más allá de la lista de objetivos original, un patrón también visible en incidentes como el zero-day de Check Point SmartConsole explotado en ataques y la ventana de exposición prolongada vista en el zero-day de SonicWall SMA 1000 usado por el ransomware INC durante 22 días.

Qué significa esto para usted

La mayoría de los lectores no serán objetivos directos de una operación de nivel estatal como la de UTA0565, pero la lección subyacente se aplica en general: mantenga su navegador y su sistema operativo actualizados. Tanto Chrome como Windows publican parches de seguridad con regularidad, y una vez que un zero-day se convierte en conocimiento público, como ha ocurrido ahora con esta divulgación de Volexity, los proveedores suelen actuar con rapidez para parchearlo. Retrasar las actualizaciones lo deja expuesto precisamente durante la ventana en la que los atacantes saben que existe la falla y los defensores corren para cerrarla.

También vale la pena crear el hábito de examinar los enlaces antes de hacer clic, especialmente los recibidos por correo electrónico, aplicaciones de mensajería o resultados de búsqueda que llevan a dominios desconocidos. Los sitios falsificados están diseñados para parecer convincentes, así que pasar el cursor sobre un enlace para comprobar la URL de destino real, o navegar directamente a un sitio conocido en lugar de hacer clic, puede prevenir el compromiso inicial antes de que empiece.

Conclusiones prácticas

  • Actualice Chrome y Windows tan pronto como haya parches disponibles, en particular tras divulgaciones de zero-days como esta.
  • Evite hacer clic en enlaces desconocidos y verifique las URL antes de introducir credenciales o descargar archivos.
  • Los equipos de seguridad deben revisar los indicadores de compromiso publicados por Volexity para CLEANGULP, incluidos los detalles de archivos, persistencia y C2, y comprobarlos con los registros de endpoints y de red.
  • Trate las actualizaciones de seguridad del navegador con la misma urgencia que los parches del sistema operativo; ambos se explotaron juntos en esta campaña.
  • Manténgase informado sobre las divulgaciones de zero-days en curso, ya que la explotación encadenada en múltiples productos es una técnica de ataque cada vez más común.