El grupo APT Winter Vivern explota el error de correo web de Zimbra para apuntar a las agencias gubernamentales
Un grupo APT conocido en la industria de la seguridad como Winter Vivern ha explotado una vulnerabilidad en el software Zimbra Collaboration para obtener acceso a los buzones de las agencias gubernamentales en varios países europeos. Aunque no se han establecido vínculos claros entre Winter Vivern y el gobierno de ningún país en particular, los investigadores de seguridad han descubierto que sus actividades se alinean estrechamente con los intereses de Rusia y Bielorrusia.
El grupo, también rastreado como TA473 o UAC-0114, ha estado operando desde al menos 2021 y se han identificado víctimas anteriores en Lituania, India, el Vaticano y Eslovaquia. Respectivamente un informe a principios de este mes Los objetivos más recientes para la firma de seguridad cibernética SentinelLabs incluyen agencias del gobierno polaco, el Ministerio de Relaciones Exteriores de Ucrania, el Ministerio de Relaciones Exteriores de Italia, personas dentro del gobierno indio y compañías de telecomunicaciones que apoyan a Ucrania en la guerra en curso. En un nuevo informe publicado hoyLa firma de seguridad cibernética Proofpoint dijo que vio campañas de Winter Vivern a fines del año pasado dirigidas a funcionarios electos en los Estados Unidos y su personal.
El modus operandi general del grupo es enviar correos electrónicos de phishing haciéndose pasar por personas de la propia organización de la víctima o de organizaciones similares involucradas en la política global. Estos correos electrónicos falsos a veces se envían desde buzones asociados con dominios que alojan sitios web de WordPress vulnerables que se han visto comprometidos. Los mensajes suelen contener un enlace a lo que parece ser un recurso en el sitio web de la organización de destino, pero en realidad conduce a una carga útil alojada en un dominio controlado por el atacante oa una página de phishing de credenciales.
Esta técnica se ha ampliado recientemente para incluir un exploit para uno conocido. Secuencias de comandos entre sitios (XSS) Vulnerabilidad en Zimbra, una plataforma de correo electrónico y colaboración empresarial de código abierto que se puede implementar en la nube o en las instalaciones. Según el propio sitio web de Zimbra, su software de correo electrónico alimenta cientos de millones de buzones en 140 países y es utilizado por «gobiernos, proveedores de servicios, instituciones educativas y pequeñas y medianas empresas».
Desde secuencias de comandos entre sitios hasta falsificación de solicitudes entre sitios y secuestro de cuentas
El exploit observado por Proofpoint en las campañas TA473 de principios de este año y tan recientemente como el mes pasado apuntó a CVE-2022-27926, una vulnerabilidad XSS de gravedad media reflejada que Zimbra parchó en la versión 9.0.0 Parche 24 hace un año. Curiosamente, la vulnerabilidad de Zimbra no figura en la lista. instrucciones de seguridad página, pero aparece en la Notas de la versión para Zimbra 9.0.0 P24 junto con errores aún más graves, incluidos los críticos y de alto riesgo.
Se podría argumentar que las organizaciones con implementaciones de Zimbra que no se han actualizado en un año tienen prácticas de seguridad cuestionables, así como muchas otras vulnerabilidades de las que preocuparse. Desde entonces, Zimbra ha reparado al menos otros tres errores XSS, incluido en su componente de correo web, una omisión de autenticación de correo electrónico, falsificación de solicitud del lado del servidor, problemas de validación de autenticación de dos factores (2FA) y la función de ejecución remota de código en la carga de archivos. Sin embargo, los recientes ataques TA473 muestran cómo incluso un XSS de riesgo medio puede ser armado por atacantes con gran efecto.
Las vulnerabilidades XSS reflejadas permiten a los atacantes construir URL con código adjunto que, si un usuario lo abriera, ejecutaría este código malicioso en su navegador en el contexto de ese sitio web. Es decir, como si este código hubiera sido entregado al navegador del usuario desde el propio sitio web.
En este caso, los atacantes primero identificaron agencias gubernamentales usando instalaciones vulnerables de Zimbra e interfaces de correo web. Luego crearon correos electrónicos de phishing con URL que explotarían la falla XSS y ejecutarían JavaScript encriptado en su interior. Una vez ejecutado por el navegador, este fragmento de JavaScript obtendría una carga útil de JavaScript más grande de un servidor controlado por un atacante y la ejecutaría en el contexto del sitio web.
La carga útil de JavaScript más grande utiliza múltiples capas de codificación y está diseñada para realizar lo que se conoce como un ataque de falsificación de solicitud entre sitios (CSRF). Este es un ataque que secuestra la sesión autenticada que el navegador del usuario tiene con un sitio web específico cuando visita otro sitio web malicioso, obligando al navegador a ejecutar solicitudes en el sitio web de destino sin el conocimiento del usuario y anexándose para participar en la sesión activa.
La carga útil es una variante del código JavaScript legítimo presente en el portal con todas las personalizaciones para el objetivo y las URL específicas en las que Winter Vivern ha inyectado rutinas y lógica específicas. Esto subraya los esfuerzos en curso para examinar el portal de correo web de cada objetivo y aplicar ingeniería inversa a su código JavaScript.
Las funciones maliciosas agregadas a la carga útil tienen como objetivo robar el nombre de usuario, la contraseña y el token CSRF activo del usuario de una cookie y enviarlos a un servidor controlado por un atacante. Los sitios web usan tokens CSRF, que deben acompañar las solicitudes del navegador para evitar ataques CSRF, pero dado que en este caso los atacantes tienen la capacidad de ejecutar código en el contexto del sitio web a través de la falla XSS, pueden leer fácilmente este token.
Una vez que se roban las credenciales y el token, el script intenta iniciar sesión en el portal de correo electrónico utilizando URI codificados de forma personalizada para el dominio de destino, y si la autenticación falla, puede mostrar a los usuarios un mensaje de error y pedirles que se vuelvan a autenticar.
«En algunos casos, los investigadores han observado que TA473 también se dirige específicamente a los tokens de solicitud de correo web de RoundCube», dijo Proofpoint. «Este enfoque detallado sobre qué portal de correo web es operado por agencias gubernamentales europeas específicas demuestra el nivel de investigación que lleva a cabo TA473 antes de enviar correos electrónicos de phishing a las organizaciones».
Los investigadores notaron algunas similitudes entre estos exploits para CVE-2022-27926 y los exploits anteriores para una vulnerabilidad Zimbra XSS más antigua llamada CVE-2021-35207, ya que ambos implican agregar JavaScript ejecutable al parámetro loginErrorCode de una URL de inicio de sesión de correo web incluida. Esto demuestra que es muy importante mantener actualizadas las implementaciones de Zimbra, ya que los portales de correo web son un objetivo atractivo para los grupos de APT.
«Se recomienda encarecidamente restringir los recursos en los portales de correo web públicos desde la Internet pública para evitar que grupos como TA473 rastreen y desarrollen scripts personalizados capaces de robar credenciales e iniciar sesión en las cuentas de correo web de los usuarios», dijeron los investigadores de Proofpoint. «Si bien TA473 no está en el pináculo de la sofisticación entre las amenazas APT dirigidas al ciberespacio europeo, demuestran enfoque, persistencia y un proceso repetible para comprometer objetivos expuestos geopolíticamente».
Derechos de autor © 2023 IDG Communications, Inc.
Este contenido de ciberseguridad nos ha llegado de: CSO Online
Encontrarás la noticia original en el enlace que se encuentra a continuación: https://www.csoonline.com/article/3692249/apt-group-winter-vivern-exploits-zimbra-webmail-flaw-to-target-government-entities.html#tk.rss_news
