Actores de amenazas de distintos tipos siguen enfocándose en aplicaciones de transferencia administrada de archivos (MFT) para explotarlas. La última vulnerabilidad preocupante en MFT fue identificada por Converge Technology Solutions, originalmente en agosto de 2023, y afecta a CrushFTP. Tras una divulgación responsable al proveedor, la vulnerabilidad se divulgó públicamente el 16 de noviembre de 2023 como CVE-2023-43117.
A continuación presentamos el análisis del equipo de Huntress sobre la amenaza que representa CVE-2023-43117 en CrushFTP, además de una exploración más amplia de los desafíos constantes en la gestión de la seguridad de las aplicaciones MFT.
Contexto y antecedentes
La explotación de CrushFTP permite acceder a todos los archivos alojados en el sistema de la víctima, además de la ejecución arbitraria de archivos. Así, la explotación posibilita una toma de control completa del sistema comprometido, además de permitir la exfiltración de archivos alojados en el equipo de la víctima.
CrushFTP es una aplicación multiplataforma de transferencia de archivos construida en Java. Por eso, la vulnerabilidad, que afecta a todas las versiones de CrushFTP anteriores a la 10.5.2, puede impactar dispositivos Windows, MacOS y Linux que ejecuten el software.
Cabe destacar que el parche necesario para CrushFTP se publicó en agosto de 2023 tras la notificación, lo que dio a las víctimas una cantidad considerable de tiempo para aplicar el parche y actualizar los sistemas antes del aviso público de Converge. Según informes públicos, más de diez mil aplicaciones CrushFTP están expuestas a internet desde principios de noviembre de 2023, aunque no se dispone del número de versión específico. Lamentablemente, dado que las aplicaciones de transferencia de archivos suelen ser servicios de "alta disponibilidad" para las organizaciones, es probable que un número considerable de estas instancias permanezca sin parchear.
La vulnerabilidad en CrushFTP es apenas la más reciente de una serie de vectores de ataque dirigidos a servicios y aplicaciones MFT en 2023. Entre los ejemplos de adversarios que han aprovechado software de transferencia de archivos para explotación se incluyen:
- GoAnywhere MFT
- MoveIT
- WS_FTP Server
La actividad en 2023 continúa una tendencia observada de interés de los adversarios en las aplicaciones MFT. Estas aplicaciones son valiosas tanto como vectores de acceso inicial para los adversarios, dado que suelen ser servicios expuestos al exterior, como objetivos en sí mismos para la exfiltración de datos con fines de extorsión. Esto último se observó directamente en la explotación de MoveIT, donde el grupo criminal cl0p explotó rápidamente miles de instancias expuestas de MoveIT para exfiltrar datos confidenciales con fines de extorsión posterior.
Las aplicaciones MFT son fundamentales para las operaciones comerciales, pero, lamentablemente, los ciclos de parcheo a menudo no son tan rápidos como se necesita. Esto es especialmente cierto en entornos donde los adversarios han identificado y explotado estas vulnerabilidades como verdaderos días cero o han diseñado parches de ingeniería inversa rápidamente para desarrollar exploits. Incluso mucho después del lanzamiento de un parche, los actores de amenazas siguen explotando oportunistamente elementos como las vulnerabilidades de “n días”, como se observa en la larga lista de elementos del catálogo Known Exploited Vulnerability de CISA.
Observaciones específicas de CrushFTP
Si bien los investigadores de Converge no publicaron una prueba de concepto pública para CrushFTP en su blog del 16 de noviembre, la publicación ofrece suficientes detalles, junto con el largo tiempo transcurrido desde el lanzamiento del parche en agosto de 2023, como para permitir que los actores de amenazas desarrollen una capacidad para esta vulnerabilidad. En teoría, los adversarios podrían haber explotado este software desde agosto (o incluso antes), pero no existe evidencia en este momento que indique que esto haya ocurrido.
Desde una perspectiva defensiva, aplicar parches es, sin duda, fundamental. Sin embargo, como se señala en la investigación de Converge, la actualización automática de CrushFTP no está habilitada de forma predeterminada. Por lo tanto, cualquier parcheo o actualización deberá hacerse manualmente; si los administradores no lo aplicaron antes directamente, los propietarios de los activos deben considerarse vulnerables y actuar en consecuencia.
Los detalles de parcheo y actualización no terminan en este punto clave. Entre las recomendaciones adicionales más allá del parcheo se incluyen:
- Cambiar el algoritmo de contraseña predeterminado de la aplicación CrushFTP a la configuración “Argon”.
- Ejecutar la aplicación CrushFTP en un modo reforzado, “Limited Server”, para reducir la superficie de ataque y dificultar considerablemente futuras explotaciones o compromisos.
Además, algunos aspectos del parcheo pueden no ser sencillos. Como se documenta en la wiki de CrushFTP, los cambios críticos para abordar la vulnerabilidad identificada por Converge modifican algunos aspectos funcionales de la aplicación que pueden requerir cambios de configuración manuales:
IMPORTANTE: debido a las actualizaciones de seguridad desde la versión 10.5.2+ de CrushFTP, cualquier archivo jar de controlador JDBC debe colocarse en el directorio CrushFTP10/plugins/lib/, o no se cargará. En caso de un servidor configurado previamente con una base de datos de usuarios SQL externa, esta nueva función impedirá el acceso en el próximo inicio; será necesario mover el archivo jar, luego editar prefs.XML y actualizar el valor de la clave <db_driver>…
Si bien no aplicar lo anterior no afectará la seguridad de la aplicación después del parche, no seguir esta guía, si estas personalizaciones o complementos están presentes, afectará la funcionalidad de la aplicación. Por ello, se recomienda a los administradores revisar a fondo la configuración y los detalles operativos antes de aplicar los parches, para evitar interrupciones en la disponibilidad y funcionalidad del servicio.
Lecciones generales y defensa de MFT
La explotación de MFT seguirá siendo popular entre los actores de amenazas mientras represente un objetivo valioso tanto para acceder a las redes de las víctimas como para recolectar información confidencial. Por eso, los defensores de redes y administradores de sistemas deben mantenerse alerta, monitorear las fuentes de noticias disponibles y las notificaciones de los proveedores, e identificar y aplicar las actualizaciones críticas de software según corresponda.
Lamentablemente, como se vio en el ejemplo de MoveIT, “solo parchear” es una solución insatisfactoria cuando los actores de amenazas logran identificar y explotar verdaderas vulnerabilidades de día cero. Por eso, aunque la identificación rápida de vulnerabilidades y una gestión ágil de parches son pasos necesarios para proteger las aplicaciones MFT, siguen siendo insuficientes por sí solos para mitigar los posibles vectores de ataque disponibles para los adversarios.
Por eso, los defensores de redes y administradores de sistemas deben adoptar un enfoque escalonado de defensa en profundidad, no solo para las aplicaciones MFT, sino para cualquier sistema expuesto, con el fin de gestionar la superficie de ataque e identificar rápidamente un compromiso si llega a ocurrir. Estas estrategias incluyen decisiones de negocio y de casos de uso de alto nivel, determinando si dichas aplicaciones realmente necesitan ser accesibles externamente para cumplir su función principal. Si ese acceso es necesario, controlarlo mediante mecanismos de seguridad, como exigir una VPN o permitir el acceso solo a socios y entidades conocidos, puede reducir el riesgo asociado.
En caso de que ocurra un compromiso, es necesario invertir en visibilidad. Esto incluye tanto la visibilidad en los dispositivos que ejecutan aplicaciones como el software MFT, para determinar la explotación y la actividad posterior a esta (por ejemplo, la exfiltración masiva de datos), como la visibilidad interna de la red en los casos en que el endpoint explotado sirva como “cabeza de playa” para un compromiso mayor. Una combinación de visibilidad y monitoreo de red (para detectar exfiltración y comportamientos de comando y control posteriores a la explotación), junto con visibilidad y monitoreo de endpoints (para detectar señales de explotación y movimiento lateral dentro de la red de la víctima), son ahora elementos mínimamente necesarios para que la mayoría de las organizaciones detecten y frenen a los actores de amenazas que aprovechan aplicaciones vulnerables.
Conclusiones
La explotación de aplicaciones MFT sigue siendo una táctica popular y preocupante utilizada por múltiples adversarios, ya sea como mecanismo para lanzar ataques disruptivos como el ransomware o como método inmediato para exfiltrar datos con fines de extorsión. Los propietarios y operadores de activos deben mantenerse al tanto de las actualizaciones de este tipo de software y priorizar la aplicación de parches, en particular si estas aplicaciones están expuestas externamente, dada la rápida weaponization de vulnerabilidades por parte de múltiples actores de amenazas.
Cuando aplicar parches sigue siendo difícil, o para fortalecer aún más los entornos, se recomienda a los defensores y operadores de red reducir su superficie de ataque restringiendo el acceso a dichas aplicaciones mediante herramientas o productos de seguridad, y aplicando configuraciones reforzadas cuando sea posible. Mediante estas técnicas, junto con la visibilidad y el monitoreo de dichas aplicaciones, los propietarios de activos pueden prevenir por completo una futura explotación o identificar rápidamente actividad potencialmente maliciosa, incluso cuando la información sobre vulnerabilidades sigue siendo escasa o incompleta.
