A fines de mayo de 2023, los clientes que usaban el popular software de transferencia de archivos MOVEit enfrentaron múltiples intrusiones sin explicación. Como Huntress documentó anteriormente, los clientes de MOVEit resultaron víctimas de una vulnerabilidad de día cero explotada activamente, desde entonces identificada como CVE-2023-34362. Tras el descubrimiento inicial, la entidad criminal conocida habitualmente como cl0p se atribuyó la explotación generalizada de las instancias de MOVEit.
Después de los primeros reportes sobre la vulnerabilidad de MOVEit y su explotación activa, los profesionales de seguridad y los administradores de redes observaron una publicación constante de víctimas en el sitio de filtraciones de cl0p. En apariencia, esto indicaría que la vulnerabilidad sigue bajo explotación activa incluso después del lanzamiento de un parche para CVE-2023-34362. Sin embargo, un análisis más detallado revela algo potencialmente más preocupante: un éxito inicial y generalizado al comprometer instalaciones vulnerables y accesibles de MOVEit, seguido de un seguimiento lento y constante del adversario sobre la actividad comprometida.
Vale destacar que la explotación de MOVEit vinculada a cl0p no ha resultado en el despliegue de ransomware ni en el compromiso total de organizaciones. En cambio, las técnicas identificadas hasta ahora, documentadas por Huntress y por otros, indican que el acceso inicial se usó para desplegar un web shell. Este web shell podía usarse, dentro del contexto del servicio explotado, para copiar y exfiltrar archivos, pero hasta el momento de esta publicación no existen casos conocidos en los que cl0p haya intentado aprovechar este acceso inicial para “escapar” hacia un compromiso total de la red.
Presumiblemente, un operador de ransomware reconocido seguiría las tácticas “típicas” de aprovechar el acceso inicial para comprometer el dominio de la víctima, y luego desplegaría ransomware a gran escala. Vale la pena notar que esto coincide con el comportamiento observado en una campaña similar liderada por cl0p contra servicios de transferencia de archivos administrada (MFT, por sus siglas en inglés): la explotación de GoAnywhere MFT llevó a la exfiltración de datos, pero sin evidencia pública de cifrado de redes. Así, hemos observado un cambio de enfoque: de un compromiso deliberado de entornos de red completos para desplegar ransomware, a una explotación oportunista de vulnerabilidades para la exfiltración de datos.
Gestión de la explotación a gran escala
El flujo constante de nuevas víctimas de MOVEit, ya sea a través del sitio de filtraciones de cl0p o de las notificaciones a los usuarios afectados, parece implicar una explotación continua de esta vulnerabilidad. Sin embargo, según la telemetría de Huntress y las conversaciones con socios del sector, no se observa una explotación significativa de esta vulnerabilidad después de fines de mayo de 2023. Presumiblemente, un actor de amenazas con un exploit viable para un servicio de alta disponibilidad (y por lo tanto difícil de parchear) y típicamente expuesto externamente continuaría aprovechando esta ventaja. Sin embargo, la comunidad de seguridad en general observó un “estallido” inicial de actividad, seguido de una actividad limitada o nula cuando llegó junio.
El escenario anterior, o la falta de actividad observada, puede relacionarse con un problema aparentemente simple y algo incómodo: la falta de recursos. Como se vio en otras actividades de explotación generalizada (como el incidente de la cadena de suministro de 3CX a principios de 2023), a veces los mecanismos de intrusión eficaces generan un éxito sorprendente, un grado de éxito que se vuelve difícil de explotar de forma activa o inmediata dado el volumen de víctimas.
Según lo informado por Huntress y otras entidades, el web shell desplegado en la explotación de MOVEit es esencialmente el mismo en todas las víctimas, salvo por cambios superficiales en el nombre del archivo y una contraseña codificada que parece generada de forma aleatoria. Aunque no hay evidencia suficiente para demostrar de forma concluyente la siguiente hipótesis, las observaciones existentes parecen indicar una amenaza que buscaba una explotación generalizada de la vulnerabilidad (probablemente por medios automatizados), la cual desplegaría un punto de apoyo persistente para que el adversario accediera y realizara operaciones de seguimiento.
El modelo anterior es razonable y comprensible, pero se vuelve inmanejable cuando el nivel de actividad comienza a superar las capacidades (y el tiempo) de los operadores involucrados. El escenario descrito también podría explicar por qué las operaciones posteriores a la explotación vinculadas a MOVEit se centran todas en la exfiltración de datos y la extorsión, sin casos públicamente conocidos de que cl0p (u otros actores) haya aprovechado el acceso inicial para desplegar ransomware en la red. En esencia: cl0p se sobrecargó de oportunidades y trabaja para monetizar tantas como sea posible antes de ser descubierto o expulsado.
La larga cola de las intrusiones de red
Los lectores sin duda conocen la limitación de tiempo y recursos para atender los problemas de seguridad de red; lo que revela el ritmo constante de identificación de víctimas de MOVEit es una “cola larga” también para los adversarios. En este escenario, el mayor volumen de actividad (y de atención de los defensores) se concentra en las primeras etapas del descubrimiento y uso de una capacidad, vulnerabilidad o similar. Con el paso del tiempo, el elemento pierde novedad o los defensores se ajustan adecuadamente mediante controles o parches, lo que reduce la efectividad y la prevalencia de la técnica. Alternativamente, la actividad posterior puede indicar que los adversarios están dando seguimiento a los puntos de presencia obtenidos al inicio del ciclo de vida de la técnica.
El resultado es que la técnica no desaparece, sino que se extiende en una larga cola de operaciones cibernéticas, con actividad oportunista y acciones heredadas que se retoman después de los hechos. Es posible que dichas acciones tengan un alcance limitado en comparación con el “estallido” inicial, pero siguen siendo lo bastante rentables como para justificar la atención e inversión continuas. La explotación de MOVEit vinculada a cl0p se asemeja a esto: si bien vemos esta publicación constante de nuevas víctimas casi a diario al momento de escribir esto, toda la evidencia disponible sugiere que las intrusiones originales ocurrieron a fines de mayo. Así, el actor de amenazas trabaja para monetizar acciones ya realizadas, pero lo hace de una forma que separa el compromiso inicial del seguimiento posterior y retrasado.
Sin embargo, existen otros ejemplos de esta larga cola, en gran parte relacionados con vulnerabilidades y debilidades persistentes en los entornos de las víctimas. Podemos ver ejemplos de organizaciones que ejecutan sistemas operativos heredados sin soporte o software que el proveedor ya no mantiene. Como ejemplo concreto, podemos observar vulnerabilidades críticas en el sistema operativo Windows, como MS17-010 (que habilitó el evento WannaCry) o incluso MS08-67 (la infame vulnerabilidad que habilitó Conficker). Aunque fueron alarmantes en el momento de su descubrimiento, estos elementos siguen siendo relevantes para las intrusiones hasta hoy. En estos casos, el uso continuo de sistemas heredados, la falta de una gestión eficaz de parches y otras razones relacionadas mantienen vivas estas "vulnerabilidades zombi" mucho más tiempo de lo esperado. Así, la larga cola de oportunidades para el adversario existe no solo en los efectos persistentes de las intrusiones, sino en la lenta respuesta de los defensores ante las realidades impuestas por los intrusos.
Respuestas y orientación para los defensores
De lo anterior surgen dos lecciones. La primera, y la más fácil de abordar, es que el hecho de que algo sea "antiguo" no significa que no se vuelva a usar. Si bien los ejemplos de MS17-010 y MS08-67 son bastante obvios en este sentido, también podemos extender esto de las vulnerabilidades a las técnicas. Por ejemplo, las macros basadas en Office para la ejecución de código en la víctima han cambiado continuamente en prevalencia y frecuencia a lo largo del tiempo, con tendencias actuales que alejan en gran medida a los adversarios de esta técnica.
Sin embargo, las técnicas reaparecen y se descubren de nuevo con los cambios en el panorama técnico y en el uso y configuración de las aplicaciones empresariales. Lo que alguna vez fue exitoso y generalizado puede desaparecer, pero también puede volver a surgir. Por eso, los defensores deben garantizar cierto nivel de cobertura o prevención incluso contra técnicas heredadas, ya sea aplicando parches contra vulnerabilidades aparentemente muertas hace tiempo o manteniendo la visibilidad sobre tácticas, técnicas y procedimientos que hayan caído en desuso.
Segundo, los defensores deben pensar más allá de los titulares y adoptar un enfoque muy cauteloso ante eventos como MOVEit, donde los impactos pueden no observarse de inmediato. En el caso de la explotación de MOVEit, cl0p u otras entidades relacionadas aprovecharon el exploit para obtener acceso inicial y luego extrajeron datos de los sistemas víctimas con fines de extorsión. Poder identificar flujos de datos anómalos (una tarea difícil en un sistema diseñado para compartir y distribuir datos) es fundamental para determinar si la vulnerabilidad inicial llevó a un compromiso y a un impacto real. Dado que esta campaña evitó impactos muy evidentes (por ejemplo, el despliegue de ransomware a nivel de red), las organizaciones se encuentran en la difícil posición de intentar verificar que algo no sucedió en su entorno.
Aquí, una combinación de visibilidad (en los datos del endpoint y de la red) y retención (para poder consultar información histórica una vez identificado un vector de amenaza) resulta fundamental no solo para delimitar, sino incluso para identificar una vulneración. Determinar que los datos fueron exfiltrados (y, con suerte, cuáles exactamente) puede ayudar a una organización a planificar su respuesta y recuperación, y a anticiparse a los eventos en lugar de depender de los actores de amenazas para definir el momento y el ritmo de la respuesta.
Conclusiones
Las amenazas evolucionan y cambian constantemente, pero las amenazas más antiguas no necesariamente desaparecen. Esto puede deberse a la resurrección de elementos y comportamientos heredados a medida que cambian los entornos, o a la aparición de intrusiones ocurridas hace mucho tiempo que solo se vuelven operativas semanas o meses después. Independientemente del origen o la causa, estos casos resaltan varios aspectos clave de la seguridad de la información:
- Garantizar el conocimiento de las acciones y tendencias de los adversarios para adaptar las defensas ante tácticas maliciosas
- Realizar gestión de la superficie de ataque para limitar o moldear lo que queda disponible para que los adversarios comprometan el entorno defendido
- Mantener la visibilidad sobre el entorno defendido para poder responder con razonable autoridad preguntas como "¿Hemos sido vulnerados?"
- Realizar búsquedas activas dentro de los entornos defendidos para identificar artefactos asociados con vulneraciones que no se detectaron inicialmente
Aunque nada de esto es necesariamente fácil, es necesario para que las organizaciones no solo intenten prevenir un compromiso significativo en casos como el evento de MOVEit, sino también para que puedan saber después si tales eventos realmente afectaron el entorno monitoreado. Es posible que los actores de amenazas no logren explotar todos los puntos de presencia obtenidos inicialmente en una campaña. Por lo tanto, poder identificar esa actividad o los artefactos relacionados es fundamental para cortar la larga cola de las operaciones de los actores de amenazas en campañas de evolución lenta como esta.
¿Quieres profundizar en el análisis de Huntress sobre MOVEit? Mira este episodio de Tradecraft Tuesday para aprender cómo recreamos la cadena de ataque completa, compartimos consejos de respuesta y remediación, y más.
