Los actores de amenazas apuntan al software de contratistas

Los actores de amenazas están apuntando al software de contabilidad Foundation, comúnmente utilizado por contratistas generales en la industria de la construcción, con exploits activos en las subindustrias de plomería, HVAC y concreto, entre otras.

Los investigadores de Huntress descubrieron por primera vez la amenaza el 14 de septiembre mientras rastreaban la actividad. «Lo que nos llamó la atención fueron los comandos de enumeración de host/dominio que se originan en un proceso principal de sqlservr.exe». Los investigadores escribieron en su declaración..

El software utilizado por la aplicación incluye un Servidor Microsoft SQL (MSSQL) Instancia para manejar operaciones de base de datos. Según los investigadores, si bien es común mantener los servidores de bases de datos en una red interna o detrás de un firewall, el software de la Fundación incluye funciones que permiten el acceso a través de una aplicación móvil. Por este motivo, “el puerto TCP 4243 puede liberarse públicamente para su uso en la aplicación móvil. Este puerto 4243 proporciona acceso directo a MSSQL”.

Además, Microsoft SQL Server tiene una cuenta de administrador del sistema predeterminada llamada «sa» que tiene plenos derechos administrativos sobre todo el servidor. Con privilegios tan altos, los usuarios con estas cuentas pueden ejecutar scripts y comandos de shell.

Se observó que los actores de amenazas que apuntaban a la aplicación atacaban la aplicación a gran escala mediante ataques de fuerza bruta y obtenían acceso a las cuentas de las víctimas utilizando credenciales estándar. Además, los actores de amenazas parecen estar utilizando scripts para automatizar sus ataques.

Se recomienda que las organizaciones roten sus credenciales asociadas con el software Foundation y desconecten las instalaciones de Internet para evitar ser víctimas de estos ataques.