El equipo de Huntress ha estado investigando activamente el exploit ProxyShell y generando conciencia sobre cómo puedes proteger tus entornos de este ataque.
Hay cierta confusión en la comunidad respecto a las diferencias entre ProxyShell y ProxyLogon. Queremos aclarar las cosas para que los usuarios puedan aplicar parches según sea necesario.
ProxyShell: Revelado en agosto de 2021
Presentado en Black Hat USA 2021
ProxyShell es el exploit más reciente que está afectando a los servidores on-premises de Microsoft Exchange. Los actores de amenazas están escaneando activamente servidores de Microsoft Exchange vulnerables, explotando aquellos que no han recibido los parches correspondientes desde abril o mayo. Para ser claros, quienes no han aplicado parches a sus servidores on-prem de Microsoft Exchange desde julio son vulnerables a ProxyShell.
Una vez que los actores de amenazas explotan un sistema con ProxyShell, obtienen acceso a ejecución remota de código, es decir, la capacidad de ejecutar cualquier comando o programa que deseen como una cuenta de administrador absoluto. En otras palabras, los servidores Exchange on-prem que permanecen sin parchear están invitando a los actores de amenazas a obtener acceso en “modo dios” a su servidor y hacer lo que quieran: moverse lateralmente por el entorno, tomar información sensible, implementar ransomware, lo que sea.
Recomendamos actualizar al último parche de seguridad, monitorear nuevos indicadores de compromiso y mantenerte al tanto de la información nueva a medida que se publica. Puedes seguir las novedades en nuestro blog de respuesta rápida y recopilar información de la comunidad en nuestra publicación de Reddit.
Esta cadena de ataque se presentó en la Conferencia Black Hat USA 2021 durante la presentación de Orange Tsai ProxyLogon is Just the Tip of the Iceberg. (Consulta las diapositivas de la presentación, la demostración en video de prueba de concepto y la grabación de la presentación.)
ProxyLogon: Revelado en marzo de 2021
La explotación masiva de servidores Exchange on-prem
ProxyLogon es básicamente la madre de ProxyShell. ProxyLogon es la vulnerabilidad que HAFNIUM desató en marzo de 2021, la cual les dio a los actores de amenazas la capacidad de ejecución remota de código desde cualquier parte del mundo con acceso a internet para llegar al servidor víctima. Debido a que ProxyLogon ocurrió, ProxyShell pudo entrar en escena y explotar sistemas que no habían sido completamente parchados para abordar la vulnerabilidad original de ProxyLogon.
Al momento de escribir esto, el alcance del exploit ProxyLogon supera ampliamente al de ProxyShell. La cantidad de webshells descubiertas (hasta ahora) durante el exploit de ProxyShell es de alrededor de 380. ProxyLogon, por otro lado, generó el doble de esa cantidad, y todavía siguen apareciendo servidores comprometidos. Eso no significa que ProxyShell no deba tomarse igual de en serio.
Entonces, ¿por qué es notable ProxyShell?
Cualquier exploit que le permita a un atacante obtener capacidades de ejecución remota de código no debe tomarse a la ligera. Este acceso básicamente coloca un teclado y un mouse frente al atacante, junto con una invitación a hacer lo que quiera dentro de tu entorno. Y aunque ProxyShell actualmente no está en la misma escala que ProxyLogon, es importante notar que las piezas del rompecabezas están ahí, y podría potencialmente afectar más sistemas y convertirse en un problema mayor si la gente no aplica los parches.
Nuestro mejor consejo es, como ya lo adivinaste, aplicar los parches. Si estás seguro de que has aplicado el parche más reciente a tus servidores on-prem, revisa dos y hasta tres veces para confirmar que realmente sea el caso. Hacerlo puede ahorrarte a ti y a tu equipo muchos dolores de cabeza potenciales.
