Una nueva falla de SolarWinds probablemente permitió que los hackers instalaran el malware SUPERNOVA

Los adversarios pueden haber aprovechado una vulnerabilidad de omisión de autenticación en el software SolarWinds Orion como un día cero para implementar el malware SUPERNOVA en los entornos de destino.

Según un aviso publicado ayer por el Centro de Coordinación CERT, la API de SolarWinds Orion que se utiliza para interactuar con todos los demás productos de administración y monitoreo del sistema Orion sufre una falla de seguridad (CVE-2020-10148) que podría permitir que un atacante remoto ejecute Comandos API, lo que da como resultado un compromiso de la instancia de SolarWinds.

«La autenticación de la API se puede omitir al incluir parámetros específicos en la parte Request.PathInfo de una solicitud de URI a la API, lo que podría permitir que un atacante ejecute comandos API no autenticados», afirma el aviso.

«En particular, si un atacante agrega un parámetro PathInfo de ‘WebResource.adx’, ‘ScriptResource.adx’, ‘i18n.ashx’ o ‘Skipi18n’ a una solicitud a un servidor SolarWinds Orion, SolarWinds puede establecer el indicador SkipAuthorization, lo que puede permitir que la solicitud de la API se procese sin necesidad de autenticación».

Vale la pena señalar que el aviso de seguridad actualizado de SolarWinds el 24 de diciembre tomó nota de una vulnerabilidad no especificada en la plataforma Orion que podría explotarse para implementar software no autorizado como SUPERNOVA. Pero los detalles exactos de la falla no estaban claros hasta ahora.

La semana pasada, Microsoft reveló que un segundo actor de amenazas podría haber estado abusando del software Orion de SolarWinds para lanzar una pieza adicional de malware llamada SUPERNOVA en los sistemas de destino.

También fue corroborado por el equipo de inteligencia de amenazas de la Unidad 42 de las empresas de ciberseguridad Palo Alto Networks y GuidePoint Security, quienes lo describieron como un shell web .NET implementado mediante la modificación de un módulo «app_web_logoimagehandler.ashx.b6031896.dll» de la aplicación SolarWinds Orion. .

Si bien el propósito legítimo de la DLL es devolver la imagen del logotipo configurada por un usuario a otros componentes de la aplicación web de Orion a través de una API HTTP, las adiciones maliciosas le permiten recibir comandos remotos de un servidor controlado por un atacante y ejecutarlos en- memoria en el contexto del usuario del servidor.

«SUPERNOVA es novedoso y potente debido a su ejecución en memoria, sofisticación en sus parámetros y ejecución y flexibilidad mediante la implementación de una API programática completa para el tiempo de ejecución de .NET», señalaron los investigadores de Unit 42.

Se dice que el shell web de SUPERNOVA lo dejó caer un tercero no identificado diferente de los actores de SUNBURST (registrado como «UNC2452») debido a que la DLL antes mencionada no está firmada digitalmente, a diferencia de la DLL de SUNBURST.

El desarrollo se produce cuando las agencias gubernamentales y los expertos en seguridad cibernética están trabajando para comprender todas las consecuencias del ataque y armar la campaña de intrusión global que potencialmente atrapó a 18,000 de los clientes de SolarWinds.

FireEye, que fue la primera compañía en descubrir el implante SUNBURST, dijo en un análisis que los actores detrás de la operación de espionaje retiraban rutinariamente sus herramientas, incluidas las puertas traseras, una vez que se lograba el acceso remoto legítimo, lo que implica un alto grado de sofisticación técnica y atención a seguridad operativa.

La evidencia descubierta por ReversingLabs y Microsoft había revelado que los componentes clave para el hackeo de SolarWinds se implementaron en octubre de 2019 cuando los atacantes agregaron una actualización de software de rutina con modificaciones inocuas para mezclarse con el código original y luego realizaron cambios maliciosos que permitieron para lanzar más ataques contra sus clientes y robar datos.

Para abordar la vulnerabilidad de omisión de autenticación, se recomienda que los usuarios actualicen a las versiones relevantes de SolarWinds Orion Platform:

  • 2019.4 HF 6 (lanzado el 14 de diciembre de 2020)
  • 2020.2.1 HF 2 (lanzado el 15 de diciembre de 2020)
  • Parche SUPERNOVA 2019.2 (lanzado el 23 de diciembre de 2020)
  • Parche SUPERNOVA 2018.4 (lanzado el 23 de diciembre de 2020)
  • Parche SUPERNOVA 2018.2 (lanzado el 23 de diciembre de 2020)

Para los clientes que ya actualizaron a las versiones 2020.2.1 HF 2 o 2019.4 HF 6, vale la pena señalar que las vulnerabilidades de SUNBURST y SUPERNOVA se han solucionado y no se requiere ninguna otra acción.

Continua leyendo

Deja una respuesta

Tu dirección de correo electrónico no será publicada.

Newsletter Signup

Suscríbete a nuestra lista si te interesa recibir turcos exclusivos sobre hacking y seguridad informática