Las actualizaciones automáticas entregan «actualizaciones» maliciosas de 3CX a las empresas

Los investigadores de seguridad están haciendo sonar la alarma sobre lo que podría ser otro gran ataque a la cadena de suministro similar al de SolarWinds o Kaseya, esta vez utilizando las versiones para Windows y Mac de una aplicación de videoconferencia, PBX y comunicaciones comerciales ampliamente utilizada de 3CX.

El 30 de marzo, varios proveedores de seguridad informaron haber observado versiones legítimas firmadas digitalmente de la aplicación de escritorio 3CX junto con instaladores maliciosos, que terminaban en los escritorios de los usuarios a través del proceso de actualización automática oficial de la compañía, así como a través de actualizaciones manuales. El resultado final es un malware de robo de datos implantado como parte de un posible esfuerzo de ciberespionaje por parte de un actor de amenazas persistentes avanzadas (APT).

El impacto potencial de la nueva amenaza podría ser enorme. 3CX reclama alrededor de 600.000 instalaciones en todo el mundo con más de 12 millones de usuarios diarios. Los numerosos clientes conocidos incluyen empresas como American Express, Avis, Coca Cola, Honda, McDonald’s, Pepsi y Toyota.

Calificación de CrowdStrike que el actor de amenazas detrás de la campaña Labyrinth es Chollima, un grupo que muchos investigadores creen que está vinculado a la unidad de guerra cibernética de la Oficina General de Reconocimiento (RGB) de Corea del Norte. Laberinto Cholima es uno de los cuatro grupos CrowdStrike revisado es parte del grupo Lazarus de Corea del Norte más grande.

La amenaza sigue muy activa. «Actualmente, los últimos instaladores y actualizaciones disponibles en el sitio web público de 3CX siguen siendo las aplicaciones comprometidas y de puerta trasera que numerosas empresas de seguridad han identificado como conocidas como maliciosas», dijo John Hammond, investigador sénior de seguridad de Huntress.

Aplicación empresarial troyanizada con instaladores maliciosos

La aplicación armada llega a un sistema host cuando la aplicación de escritorio 3CX se actualiza automáticamente o cuando un usuario descarga proactivamente la última versión. Una vez que la aplicación de escritorio 3CX firmada se inserta en un sistema, ejecuta un instalador malicioso, que luego se propaga a un servidor controlado por un atacante, desde donde extrae un malware de robo de información de segunda etapa y lo instala en la computadora del usuario. CrowdStrike, uno de los primeros en reportar la amenaza el 29 de marzo, dijo que también había observado actividad de teclado malicioso en sistemas que ejecutan la aplicación troyana 3CX en algunos casos.

En un mensaje a principios del 30 de marzo, el CEO de 3CX, Nick Galea, instó a los usuarios a hacerlo. desinstalar inmediatamente la aplicación, agregando que Microsoft Windows Defender haría esto automáticamente para los usuarios que ejecutan el software. Galea instó a los clientes que deseen utilizar la funcionalidad de la aplicación a usar la versión de cliente web de la tecnología mientras la empresa trabaja para implementar una actualización.

A alerta de seguridad por el CISO de 3CX, Pierre Jourdan, identificó las aplicaciones afectadas como Electron Windows App enviada en la Actualización 7, números de versión 18.12.407 y 18.12.416 y Electron Mac App números de versión 18.11.1213, 18.12.402, 18.12.407 y 18.12.416. «El problema parece ser una de las bibliotecas integradas que compilamos en la aplicación Windows Electron a través de GIT», dijo Jourdan.

Los atacantes probablemente atacaron el entorno de producción de 3CX

Ni los mensajes de Jourdan ni de Galea dieron ninguna pista sobre cómo el atacante obtuvo el acceso necesario para troyanizar un binario 3CXDekstopApp.exe firmado. Pero al menos dos proveedores de seguridad que analizaron la amenaza dicen que solo podría haber ocurrido si los atacantes hubieran estado dentro del entorno de desarrollo o construcción de 3CX, de la misma manera que SolarWinds se vio comprometido.

«Aunque solo 3CX tiene una imagen forense completa de lo que ha sucedido hasta la fecha, tenemos una gran confianza en que el atacante tuvo acceso a la línea de producción de 3CX», dijo Lotem Finkelstein, Director de Threat Intelligence & Research Point software de Check. «Los archivos están firmados con certificados 3CX, los mismos que se usaron para las versiones benignas anteriores. El código está diseñado para funcionar como de costumbre, pero también agrega malware”.

dice finkelstein Investigación de Check Point confirma que la versión troyana de 3CX DesktopApp es proporcionada por el sistema oficial ya sea mediante descarga manual o actualizaciones regulares.

Dick O’Brien, analista senior de inteligencia del equipo Symantec Threat Hunter, dice que el actor de amenazas parece no haberlo hecho. tocó el ejecutable principal en sí. En cambio, APT comprometió dos DLL (Bibliotecas de enlace dinámico) que venían incluidas con el ejecutable en el instalador.

«Se reemplazó una DLL con un archivo completamente diferente con el mismo nombre», dice O’Brien. «La segunda era una versión troyana de la DLL legítima [with] los atacantes esencialmente le están agregando datos cifrados adicionales”. Los atacantes utilizaron una técnica llamada carga lateral de DLL para engañar al binario 3CX legítimo para que cargue y ejecute el DLL malicioso, dice.

O’Brien está de acuerdo en que el atacante habría necesitado acceso al entorno de producción de 3CX para llevar a cabo el ataque. «Cómo lo hicieron es desconocido. Pero una vez que tuvieron acceso al entorno de compilación, todo lo que tuvieron que hacer fue arrastrar dos archivos DLL al directorio de compilación”.

Amplio impacto potencial

Investigadores de Huntress seguimiento de la amenaza dijo que hasta el momento han enviado un total de 2.595 informes de incidentes a clientes que les han advertido sobre hosts que ejecutan versiones vulnerables de la aplicación de escritorio 3CX. En estos casos, el software coincidía con el hash o identificador de una de las aplicaciones maliciosas conocidas.

«La fase final de la cadena de ataque, tal como la conocemos, golpea los servidores de comando y control, pero esto parece estar en un temporizador establecido después de siete días», dice Hammond de Huntress. Una búsqueda de Shodan realizada por Huntress reveló 242,519 sistemas 3CX disponibles públicamente, aunque el impacto del problema es más amplio que solo este grupo de objetivos.

«Las actualizaciones recibidas por la aplicación de escritorio 3CX firmada provienen de la fuente de actualización legítima de 3CX, por lo que a primera vista esto parece normal», agrega. «Muchos usuarios finales no esperaban que la aplicación 3CX original y válida de repente hiciera sonar la alarma en sus productos antivirus o de seguridad y en la línea de tiempo inicial no se reveló mucha información y hubo cierta confusión sobre si la Actividad como esa era maliciosa o no. no, dice.

Tonos de SolarWinds y Kaseya

Hammond compara este incidente con aquel Violaciones en SolarWinds y en Kaseya.

En SolarWinds, los atacantes, probablemente en colaboración con el servicio de inteligencia exterior ruso, irrumpieron en el entorno de construcción de la empresa e inyectaron algunas líneas de código malicioso en las actualizaciones de su software de gestión de red Orion. Alrededor de 18,000 clientes recibieron las actualizaciones, pero el actor de amenazas en realidad solo apuntó a un pequeño puñado de ellos para comprometerlos más tarde.

El Asalto al VSA de Kaseya La tecnología de administración remota resultó en que más de 1,000 clientes intermedios de sus clientes proveedores de servicios administrados se vieron afectados y, posteriormente, fueron atacados para entregar ransomware. Los dos ataques son ejemplos de una tendencia creciente de actores de amenazas que apuntan a proveedores de software confiables y empresas en el cadena de suministro de software para llegar a una amplia gama de víctimas. Las preocupaciones sobre la amenaza llevaron al presidente Biden a hacerlo. emitir una orden ejecutiva en mayo de 2021, que incluía requisitos específicos para fortalecer la seguridad de la cadena de suministro.