Grupo que espía a hoteles, gobiernos y empresas privadas

ESET descubre grupo que espía a hoteles, gobiernos y empresas privadas. Recomiendan actualizar el sistema a la última versión ya que se detectó una vulnerabilidad crítica que podría ser utilizada en ataques y comprometer las redes corporativas.

ESET, compañía líder en detección proactiva de amenazas, advierte sobre una vulnerabilidad de VMware que podría ser explotada por actores de amenazas y ejecutar comandos para evadir controles de seguridad.

Grupo espía

El martes de esta semana VMware lanzó una actualización que repara un total de 19 vulnerabilidades que afectan a dos productos de la compañía, vCenter Sever y Cloud Foundation. Una de las vulnerabilidades parcheadas es la CVE-2021-22005, un fallo que permite la carga de archivos arbitrarios.

Cualquier atacante con acceso a la red a través del puerto 443 en vCenter Server será capaz de explotar la vulnerabilidad en equipos desactualizados, independientemente de la configuración establecida, explicó VMware. Esta vulnerabilidad podría ser explotada por actores de amenazas mediante archivos diseñados para conducir ataques de ejecución remota de código (RCE). Las versiones 6.7, y 7.0 de vCenter Server se ven impactadas por esta falla. La compañía recomienda actualizar a la versión 7.0U2d lo antes posible. Sobre todo, porque es cuestión de tiempo para que la vulnerabilidad sea utilizada para fines maliciosos y que aparezcan exploits públicos que funcionen. De hecho, fuentes públicas han notado actividad en la red en busca de servidores vulnerables accesibles desde la red.

  Martina López, Investigadora de Seguridad Informática de ESET Latinoamérica.

Ejecución remota

Una vulnerabilidad de ejecución remota de código permite a un atacante; que haya logrado acceso a la red corporativa; ejecutar comandos para evadir controles de seguridad. Según VMware, los grupos de ransomware han demostrado en reiteradas oportunidades que son capaces de:

Comprometer redes corporativas Mantenerse a la espera de forma silenciosa hasta que llegue el momento oportuno para lanzar su ataque desde el interior de la red

En julio de este año se dio un escenario similar con la CVE-2021-21985, otra vulnerabilidad crítica en vCenter Server y que a los pocos días de conocerse se detectó actividad en la red en busca de servidores vulnerables. De hecho, la CVE-2021-21985 ha sido utilizada en ataques de ransomware para intentar obtener acceso inicial.

VMware compartió algunas soluciones temporales para quienes por algún motivo no puedan instalar la actualización, hasta se le permita instalar el parche. Una vez más vemos la importancia de mantener las herramientas utilizadas con la última actualización disponible. En el caso de esta vulnerabilidad, los equipos no actualizados se podrían ver involucradas en ejecuciones de código de terceros, pudiendo incluir ataques con software, descargas maliciosas o droppers de otras amenazas__.

  Especialista de ESET Latinoamérica.