Autor: Seguridad CSIRT-CV

El pasado jueves 23 de mayo, Google implementó soluciones para abordar una vulnerabilidad de seguridad de alta gravedad en su navegador Chrome que, según dijo, había sido explotada en la naturaleza.

Asignado el identificador CVE-2024-5274, la vulnerabilidad se relaciona con un error de confusión de tipos en el motor V8 JavaScript y WebAssembly. Fue informado por Clément Lecigne del Grupo de Análisis de Amenazas de Google y Brendon Tiszka de Chrome Security el 20 de mayo de 2024.

Las vulnerabilidades de confusión de tipos ocurren cuando un programa intenta acceder a un recurso con un tipo incompatible. Puede tener graves consecuencias, ya que permite a los actores de amenazas realizar accesos a la memoria fuera de los límites, provocar un bloqueo y ejecutar código arbitrario.

Así mismo, reconoció que existe un exploit para CVE-2024-5274 en la naturaleza por lo que recomienda aplicar la actualización mas reciente para corregir la vulnerabilidad reportada.

Versiones Afectadas

• • Versiones anteriores a 125.0.6422.112/.113 de Chrome para Windows y macOS, y a la versión 125.0.6422.112 para Linux.

Recomendaciones

• • Se recomienda a los usuarios actualizar a la versión 125.0.6422.112/.113 de Chrome para Windows y macOS, y a la versión 125.0.6422.112 para Linux para mitigar posibles amenazas.

También se recomienda a los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, que apliquen las correcciones cuando estén disponibles.

Referencias

• • https://thehackernews.com/2024/05/google-detects-4th-chrome-zero-day-in.html

Introducción

GitHub Enterprise Server (GHES) contiene una vulnerabilidad de severidad crítica, de tipo omisión de autenticación y que fue detectada dentro del programa bug bounty del propio fabricante, cuya explotación podría permitir a un atacante falsificar una respuesta SAML y obtener privilegios de administrador.

Análisis

La vulnerabilidad afecta a SAML SSO con la función opcional de aserciones cifradas. Un atacante podría falsificar una afirmación (claim) SAML que contenga información correcta sobre el usuario. Cuando GHES procese dicha afirmación errónea no podrá validar su firma correctamente, lo que permitirá a un atacante obtener acceso a la instancia de GHES. Se tienen constancia de la publicación de una prueba de concepto (PoC) asociada a esta vulnerabilidad. Se ha asignado el identificador CVE-2024-4985 para esta vulnerabilidad y, aunque aún no ha sido corroborado por ninguna entidad oficial, Github la ha catalogado como Crítica al darle un valor de 10.0 siguiendo el CVSS 4.0.

Versiones Afectadas

GitHub Enterprise Server, versiones:

• • desde 3.12.0 hasta 3.12.3.
  • desde 3.11.0 hasta 3.11.9.
  • desde 3.10.0 hasta 3.10.11.
  • desde 3.9.0 hasta 3.9.14.

Recomendaciones

Actualice GitHub Enterprise Server a las versiones:

• • 3.12.4;
  • 3.11.10;
  • 3.10.12;
  • 3.9.15.

Referencias

https://www.incibe.es/incibe-cert/alerta-temprana/avisos/vulnerabilidad-de-omision-de-autenticacion-en-github-enterprise-server

https://nvd.nist.gov/vuln/detail/CVE-2024-4985

Introducción

Veeam ha publicado un aviso de seguridad indicando a sus clientes que parcheen una vulnerabilidad de seguridad crítica. Esta, permite a atacantes no autentificados iniciar sesión, en cualquier cuenta, a través de Veeam Backup Enterprise Manager (VBEM).

Análisis

Versiones Afectadas

Veeam Backup & Replication versiones 5.0, 6.1, 6.5, 7.0, 8.0, 9.0, 9.5, 10, 11, 12 y 12.1

Recomendaciones

Actualice a Veeam Backup Enterprise Manager 12.1.2.172.

Referencias

    https://thehackernews.com/2024/05/critical-veeam-backup-enterprise.html

    https://www.veeam.com/kb4581

INTRODUCCIÓN

A partir del 24 de abril de 2024 y continuando diariamente durante aproximadamente una semana, Proofpoint observó campañas de alto volumen con millones de mensajes facilitados por la botnet Phorpiex y entregando el ransomware LockBit Black. Esta es la primera vez que los investigadores de Proofpoint observan muestras del ransomware LockBit Black (también conocido como LockBit 3.0) siendo entregado a través de Phorpiex en volúmenes tan altos. La muestra de LockBit Black de esta campaña probablemente fue creada a partir del constructor de LockBit que se filtró durante el verano de 2023.

ANÁLISIS

Los mensajes provenían de «Jenny Green» con la dirección de correo electrónico Jenny@gsd[.]com. Los correos electrónicos contenían un archivo ZIP adjunto con un ejecutable (.exe). Se observó que este ejecutable descargaba la carga útil de LockBit Black desde la infraestructura de la botnet Phorpiex.

From: “Jenny Green” jenny@gsd[.]com
Subject: Your Document
Attachment: Document.zip

Los correos electrónicos apuntaban a organizaciones en múltiples verticales en todo el mundo y parecían ser oportunísticos en lugar de estar dirigidos específicamente. Si bien la cadena de ataque para esta campaña no era necesariamente compleja en comparación con lo observado en el panorama del cibercrimen hasta ahora en 2024, la naturaleza de alto volumen de los mensajes y el uso de ransomware como carga útil de primera etapa es notable.

La cadena de ataque requiere interacción del usuario y comienza cuando un usuario final ejecuta el ejecutable comprimido en el archivo ZIP adjunto. El binario .exe iniciará una llamada de red a la infraestructura de la botnet Phorpiex. Si tiene éxito, se descarga y detona la muestra de LockBit Black en el sistema del usuario final, donde exhibe comportamiento de robo de datos y toma el sistema, encriptando archivos y terminando servicios. En una campaña anterior, el ransomware se ejecutaba directamente y no se observaba actividad de red, lo que evitaba detecciones o bloqueos de red.

RECOMENDACIONES

En caso de haber recibido un correo electrónico como los que se describen en este aviso, es recomendable eliminarlo inmediatamente, sin acceder al enlace ni proporcionar ningún dato, y ponerlo en conocimiento del resto de compañeros y del equipo de Sistemas para evitar posibles víctimas.

Si se ha descargado el archivo, se recomienda:

• • No descomprimir el archivo bajo ningún concepto
  • Ponerse en contacto urgentemente con el equipo de CSIRT-CV

REFERENCIAS

https://www.proofpoint.com/us/blog/threat-insight/security-brief-millions-messages-distribute-lockbit-black-ransomware