Los actores de amenazas podrían aprovecharse pronto de instalaciones de
GoAnywhere, después de que se publicara una prueba de concepto de exploit
para una vulnerabilidad crítica en el software de transferencia administrada
de archivos (MFT) Fortra GoAnywhere MFT.
Horizon3 publicó detalles
sobre cómo explotar
CVE-2024-0204, una vulnerabilidad crítica de omisión de autenticación que Fortra parchó el
4 de diciembre de 2023, pero que el proveedor solo reveló públicamente el
lunes.
El error recibe una puntuación CVSS de 9,8 y
podría permitir a un usuario no autorizado crear un usuario administrador a
través del portal de administración del producto,
permitiéndole así tomar un control remoto completo del entorno de un cliente y
acceder a su red.
GoAnywhere MFT fue atacado el año pasado por el infame grupo de extorsión de
ransomware Clop de manera similar a su infame campaña MOVEit. El grupo logró
comprometer los datos de alrededor de 100 organizaciones víctimas después de
explotar una falla de ejecución remota de código (CVE-2023-0669) en el producto Fortra MFT.
Ahora que se ha publicado el
código de explotación, es muy probable que los actores de amenazas busquen instalaciones de
GoAnywhere MFT sin parches. De hecho, un proveedor ya está viendo rumores en
los círculos de ciberdelincuencia.
«Ya hemos observado código de explotación de prueba de concepto que circula
esta mañana por parte de actores de amenazas en al menos un canal de
Telegram», advirtió el ingeniero de inteligencia de amenazas de Searchlight Cyber, Joe
Honey.
«Recomendamos encarecidamente que las organizaciones den prioridad al
parche que se ha lanzado y supervisen el grupo de usuarios administradores
dentro del software para detectar cualquier actividad no reconocida».
Horizon3 explicó cómo los clientes preocupados de Fortra pueden comprobar si
ya han sido atacados.
«El indicador más fácil de compromiso que se puede analizar es cualquier
nueva incorporación al grupo Usuarios administradores en la sección Usuarios
-> Usuarios administradores del portal de administrador de GoAnywhere. Si
el atacante dejó a este usuario aquí, es posible que pueda observar su
última actividad de inicio de sesión aquí para evaluar una fecha aproximada
del compromiso», dijo.
Además, los registros de la base de datos se almacenan en
GoAnywhereuserdatadatabasegoanywherelog*.log. Estos
archivos contienen el historial de transacciones de la base de datos, para el
cual agregar usuarios creará entradas.
Fuente:
InfoSecurity
Los comentarios están cerrados.