Microsoft vincula los ataques a los sistemas de infraestructura crítica estadounidenses con China
Microsoft y algunos servicios secretos estadounidenses lo descubrieron malware de origen chino utilizados en sistemas de infraestructura crítica en Guam y en otros lugares de los Estados Unidos.
La actividad maliciosa, que se centra en el acceso posterior al compromiso de las credenciales y el descubrimiento de la seguridad de la red, se ha relacionado con Volt Typhoon, un actor de amenazas patrocinado por el estado en China.
«Volt Typhoon ha estado activo desde mediados de 2021 y se ha dirigido a organizaciones de infraestructura crítica en Guam y en otros lugares de los Estados Unidos», dijo Microsoft en una publicación de blog. «En esta campaña, las organizaciones afectadas incluyen comunicaciones, manufactura, servicios públicos, transporte, construcción, envío, gobierno, tecnología de la información y educación».
Guam alberga instalaciones militares estadounidenses clave, incluida la Base de la Fuerza Aérea Andersen, que desempeña un papel fundamental en cualquier conflicto potencial en la región de Asia y el Pacífico, incluida la represión de Taiwán.
Volt Typhoon emplea una infección sigilosa
Microsoft ha identificado ataques que incluyen un «caparazón web«, un script malicioso que permite el acceso remoto a un servidor y se implementa en enrutadores domésticos y otros dispositivos informáticos comunes conectados a Internet para dificultar el seguimiento de los intrusos.
Volt Typhoon emite comandos a través de la línea de comandos de un sistema infectado para recopilar datos, incluidas las credenciales, de los sistemas locales y de red y los archiva en el escenario. exfiltración y utilice las credenciales recuperadas para mantener la persistencia.
El atacante primero obtiene acceso a las organizaciones objetivo al explotar los dispositivos Fortinet FortiGuard con acceso a Internet. Microsoft está investigando actualmente cómo Volt Typhoon logra acceder a estos dispositivos.
“El actor de amenazas intenta explotar cualquier privilegio otorgado por el dispositivo Fortinet, extrae las credenciales de una cuenta de Active Directory utilizada por el dispositivo y luego intenta autenticarse en otros dispositivos en la red utilizando esas credenciales”, agregó Microsoft.
El ataque dirige todo el tráfico de la red a sus objetivos mediante la explotación de dispositivos de borde de red de oficinas pequeñas/oficinas domésticas comprometidos, como B. usos del enrutador. Microsoft ha confirmado que numerosos dispositivos, incluidos los de Asus, Cisco, D-Link, Netgear y Zyxel, ofrecen a los propietarios la capacidad de exponer las interfaces de administración HTTP o SSH a Internet.
Volt Typhoon rara vez usa malware en sus operaciones posteriores al compromiso. En cambio, dependen en gran medida del uso de comandos de personas que viven fuera del país para buscar información en el sistema, identificar otros dispositivos conectados a la red y extraer datos.
La rotación de credenciales y MFA son clave para la protección
Como medidas correctivas, Microsoft ha recomendado cerrar o cambiar las credenciales de todas las cuentas comprometidas. «Identifique el volcado del Servicio de subsistema de la autoridad de seguridad local (LSASS) y la creación de medios de instalación del controlador de dominio para identificar las cuentas afectadas», agregó.
También se recomienda investigar las actividades de las cuentas comprometidas en busca de actos maliciosos o datos filtrados.
Para reducir el riesgo de que las cuentas legítimas se vean comprometidas, Microsoft recomienda que los clientes implementen Robust Autenticación multifactor (MFA) utilizando claves de seguridad de hardware o Microsoft Authenticator. Además, el inicio de sesión sin contraseña, la configuración de reglas de caducidad de contraseña y la desactivación de cuentas no utilizadas también pueden ayudar a mitigar de manera efectiva los riesgos asociados con este método de acceso.
La luz de proceso de protección (PPL) para LSASS, Credential Guard de Windows Defender y EDR en modo de latido son algunas de las soluciones con licencia que Microsoft ha recomendado a sus usuarios para protegerse contra tales ataques.
Derechos de autor © 2023 IDG Communications, Inc.
Hemos recibido este contenido de ciberseguridad de: CSO Online
Llegarás a la noticia original en el siguiente enlace: https://www.csoonline.com/article/3697651/microsoft-links-attacks-on-american-critical-infrastructure-systems-to-china.html#tk.rss_news
