es en ca es es pt es es es eo es es en es id en en es pt es es es eo es es en es es es es es es es es es es es es es es es es es es es es es es es es es es es es es es es es gl es es es es es es es es es es fr es en en en es en en en
Los piratas informáticos chinos tuvieron acceso a una herramienta de piratería estadounidense años antes de que se filtrara en línea | CurosHacker.es
Noticias 16 de febrero de 2022
El robo cibernético previamente no documentado tuvo lugar más de dos años antes del episodio de Shadow Brokers, dijo la compañía de seguridad cibernética estadounidense-israelí en un informe exhaustivo publicado hoy, lo que resultó en que las herramientas cibernéticas desarrolladas en EE. luego los reutilizó para atacar objetivos estadounidenses.
Un exploit de escalada de privilegios desconocido
Revelada por primera vez en marzo de 2017, CVE-2017-0005 es una vulnerabilidad de seguridad en el componente Windows Win32k que podría permitir la elevación de privilegios (EoP) en sistemas que ejecutan Windows XP y hasta Windows 8. La falla fue informada a Microsoft por Lockheed Martin’s Equipo de respuesta a incidentes informáticos.
Check Point nombró a la variante clonada «Jian» en honor a una espada recta de doble filo utilizada en China durante los últimos 2500 años, haciendo referencia a sus orígenes como una herramienta de ataque desarrollada por Equation Group que luego se armó para servir como una «arma de doble filo». espada «para atacar entidades estadounidenses.
Cronología de los eventos que detallan la historia de EpMe/Jian/CVE-2017-0005
Se dice que Jian se replicó en 2014 y se puso en funcionamiento desde al menos 2015 hasta que Microsoft reparó la falla subyacente en 2017.
Se alega que APT31, un colectivo de piratería patrocinado por el estado, realiza operaciones de reconocimiento a instancias del gobierno chino, especializándose en el robo de propiedad intelectual y la recolección de credenciales, con campañas recientes dirigidas al personal electoral de EE. Implante basado en Python alojado en GitHub, que permite a un atacante cargar y descargar archivos, así como ejecutar comandos arbitrarios.
Al afirmar que el marco de trabajo posterior a la explotación de DanderSpritz contenía cuatro módulos EoP de Windows diferentes, dos de los cuales eran de día cero en el momento de su desarrollo en 2013, Check Point dijo que uno de los días cero, denominado «EpMo», fue reparado silenciosamente por Microsoft «sin CVE-ID aparente» en mayo de 2017 en respuesta a la filtración de Shadow Brokers. EpMe fue el otro día cero.
DanderSpritz fue una de las varias herramientas de explotación filtradas por Shadow Breakers el 14 de abril de 2017, en un despacho titulado «Lost in Translation». La filtración es mejor conocida por publicar el exploit EternalBlue que luego impulsaría las infecciones de ransomware WannaCry y NotPetya que causaron daños por valor de decenas de miles de millones de dólares en más de 65 países.
Esta es la primera vez que sale a la luz un nuevo exploit de Equation Group a pesar de que el código fuente de EpMo es de acceso público en GitHub desde la filtración hace casi cuatro años.
Por su parte, EpMo se implementó en máquinas que ejecutan Windows 2000 a Windows Server 2008 R2 mediante la explotación de una vulnerabilidad NULL-Deref en el componente del controlador de impresión en modo de usuario (UMPD) de la interfaz de dispositivo gráfico (GDI).
Superposición de Jian y EpMe
«Además de nuestro análisis de los exploits Equation Group y APT31, el exploit EpMe se alinea perfectamente con los detalles informados en el blog de Microsoft en CVE-2017-0005», señalaron los investigadores. «Y si eso no fuera suficiente, el exploit dejó de funcionar después del parche de Microsoft de marzo de 2017, el parche que abordó dicha vulnerabilidad».
Aparte de esta superposición, se descubrió que tanto EpMe como Jian comparten un diseño de memoria idéntico y las mismas constantes codificadas, lo que da crédito al hecho de que una de las vulnerabilidades probablemente se copió de la otra, o que ambas partes se inspiraron. por un tercero desconocido.
Pero hasta el momento, no hay pistas alusivas a esto último, dijeron los investigadores.
Curiosamente, aunque EpMe no era compatible con Windows 2000, el análisis de Check Point descubrió que Jian tenía «casos especiales» para la plataforma, lo que plantea la posibilidad de que APT31 haya copiado el exploit de Equation Group en algún momento de 2014, antes de modificarlo para adaptarlo a sus necesidades. necesidades y, en última instancia, implementar la nueva versión contra objetivos, incluido posiblemente Lockheed Martin.
Cuando se le solicitó un comentario, un portavoz de Lockheed Martin dijo que «nuestro equipo de seguridad cibernética evalúa rutinariamente el software y las tecnologías de terceros para identificar vulnerabilidades e informarlas responsablemente a los desarrolladores y otras partes interesadas».
Además, una fuente familiarizada con la investigación y los informes cibernéticos de Lockheed Martin le dijo a The Hacker News que la vulnerabilidad de Windows se encontró en la red de un tercero no identificado, y no en su propia cadena de suministro, como parte de los servicios de monitoreo de amenazas que brinda a otros. entidades.
No es la primera vez
Los hallazgos de Check Point no son la primera vez que los piratas informáticos chinos supuestamente han secuestrado el arsenal de exploits de la NSA. En mayo de 2019, Symantec de Broadcom informó que un grupo de piratería chino llamado APT3 (o Buckeye) también había reutilizado una puerta trasera vinculada a la NSA para infiltrarse en los sectores de telecomunicaciones, medios y fabricación.
Pero a diferencia de APT31, el análisis de Symantec señaló que el actor de amenazas puede haber diseñado su propia versión de las herramientas a partir de artefactos encontrados en las comunicaciones de red capturadas, posiblemente como resultado de observar un ataque de Equation Group en acción.
Que Jian, un exploit de día cero previamente atribuido a APT31, sea en realidad una herramienta ciberofensiva creada por Equation Group para la misma vulnerabilidad significa la importancia de la atribución para la toma de decisiones estratégicas y tácticas.
«Aunque ‘Jian’ fue capturado y analizado por Microsoft a principios de 2017, y aunque la filtración de Shadow Brokers expuso las herramientas de Equation Group hace casi cuatro años, todavía se puede aprender mucho del análisis de estos eventos pasados», Cohen dicho.
«El mero hecho de que un módulo de explotación completo, que contenía cuatro exploits diferentes, estuvo pasando desapercibido durante cuatro años en GitHub, nos enseña sobre la enormidad de la fuga en torno a las herramientas de Equation Group».
La policía investiga un ‘incidente cibernético’ en el grupo médico de Guernsey
El ransomware GandCrab y el virus Ursnif se propagan a través de macros de MS Word
Investigadores lanzan herramienta que encuentra robots vulnerables en Internet
Nuevo exploit amenaza a más de 9000 enrutadores Cisco RV320 / RV325 hackeables en todo el mundo
El nuevo error de FaceTime permite que las personas que llaman lo escuchen y lo vean sin que usted responda
La policía cerró xDedic: un mercado en línea para los ciberdelincuentes
Deja una respuesta Cancelar la respuesta
Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *
Guarda mi nombre, correo electrónico y web en este navegador para la próxima vez que comente.
Copyright © 2022, cursohacker.es | Aviso legal
Suscríbete a nuestra lista si te interesa recibir turcos exclusivos sobre hacking y seguridad informática