Atacantes que se hacían pasar por soporte técnico en Microsoft Teams convirtieron sesiones remotas aprobadas por los usuarios en acceso a sistemas de autenticación empresariales, en dos intrusiones investigadas por Microsoft Threat Intelligence. Su informe del 30 de octubre describe cómo las configuraciones inseguras de certificados hicieron posibles los ataques, y en una de las intrusiones se llegó al robo de datos a pesar de la contención automatizada.
Los hallazgos afectan a organizaciones que utilizan Active Directory Certificate Services (AD CS), la infraestructura de Microsoft para emitir certificados digitales. Otras revelaciones detallan advertencias de spyware de Apple recibidas por legisladores alemanes y figuras públicas, y la extradición de un canadiense acusado de hackear computadoras de universidades estadounidenses para minar criptomonedas.
De una llamada de soporte a la autenticación privilegiada
Microsoft investigó dos intrusiones operadas por personas que comenzaron con mensajes y llamadas de Teams en las que se suplantaba al personal de mesa de ayuda. Los atacantes convencieron a los usuarios de aprobar el acceso remoto, principalmente abriendo Quick Assist y facilitando un código de conexión. En la actividad más amplia, los nombres de inquilino de Teams con temática de la organización, como onmicrosoft.com, y los nombres visibles relacionados con soporte ayudaron a que los contactos externos parecieran conocidos.
Los ataques se basaron en ingeniería social y en configuraciones de AD CS inseguras o excesivamente permisivas, y no en una vulnerabilidad de Teams. Microsoft no atribuyó la actividad a un actor de amenazas específico.
Tras obtener el control, los atacantes colocaron un archivo comprimido en la carpeta Descargas del usuario, lo extrajeron en un directorio recién creado con el prefijo KB dentro del perfil de usuario y ejecutaron scripts mediante entornos de ejecución portátiles de Python, Bun o Java. Bun es un entorno de ejecución de JavaScript; en una variante, su ejecutable había sido renombrado, pero conservaba sus metadatos de versión originales. Otra variante utilizó un entorno de ejecución portátil de Java para ejecutar un archivo de código fuente Java.
Los scripts comprobaban las versiones de Windows, la configuración de red y los procesos en ejecución, y después evaluaban los servicios de certificados. La estación de trabajo comprometida también se conectó a la infraestructura del dominio mediante LDAPS, un protocolo de acceso a directorios cifrado, y mediante SMB, que se usa para compartir archivos en Windows y para otras operaciones de red.
Las dos intrusiones se separaron después:
- El caso 1 utilizó el abuso de la plantilla de certificados ESC1. Una plantilla mal configurada permitía a un solicitante con pocos privilegios indicar otra identidad y obtener certificados de autenticación para cuentas privilegiadas. El atacante realizó un DCSync, que abusa de la replicación del directorio para obtener datos de credenciales. Microsoft indicó que la interrupción automatizada de ataques de Defender restringió las identidades cubiertas y bloqueó una actividad posterior considerable, pero una identidad privilegiada excluida de la contención siguió siendo utilizable y más tarde respaldó la exfiltración de datos.
- El caso 2 utilizó la retransmisión de autenticación ESC8. El atacante usó PetitPotam para que un controlador de dominio se autenticara ante un sistema controlado por él, y luego reenvió esa autenticación NTLM a AD CS Web Enrollment, una interfaz de solicitud de certificados que carece de protecciones contra la retransmisión. El atacante obtuvo un certificado para la cuenta del controlador de dominio y utilizó PKINIT, la autenticación Kerberos basada en certificados. Después de que Defender generara alertas relacionadas con ESC8, el cliente aisló la estación de trabajo asociada; Microsoft no observó ninguna progresión adicional.
Un certificado de autenticación emitido puede seguir siendo útil con independencia de la contraseña que se comprometió inicialmente. Restablecer esa contraseña o reinstalar la primera estación de trabajo no revoca el certificado ni invalida los tickets de autenticación Kerberos ya emitidos.
Qué pueden investigar los equipos de defensa empresarial
Microsoft recomienda a los investigadores relacionar la sesión de soporte remoto con la actividad posterior de procesos, red, identidad y certificados. Un nombre de archivo, o la mera presencia de Java o Bun, es una evidencia débil. Un patrón más sólido es que un entorno de ejecución portátil ejecute scripts desde un directorio recién creado y escribible por el usuario, inmediatamente después de una sesión remota no autorizada, seguido de comandos de descubrimiento o conexiones a la infraestructura de identidad.
Sus consultas de búsqueda publicadas usan ventanas de siete días para buscar chats externos de Teams y señales de suplantación disponibles; Bun o Java ejecutando archivos .js o .java desde directorios AppData\Roaming\KB seguidos de dígitos; y conexiones desde esos entornos preparados a los puertos 80, 445, 636 y 88. Otras consultas cruzan alertas de retransmisión NTLM, Certificate Services, PKINIT y tickets Kerberos con sus pruebas de respaldo.
La cobertura de Defender incluye actividad sospechosa de Teams externo, ejecución de scripts, enumeración de AD CS y solicitudes de certificados, abuso de ESC1 y ESC8, retransmisión NTLM, autenticación Kerberos basada en certificados y DCSync. Microsoft indica que la disponibilidad de las alertas depende de la configuración y de los sensores habilitados. Los investigadores deben validar los campos disponibles, ajustar las búsquedas para excluir actividad legítima y correlacionar los resultados; una sola coincidencia es una pista de investigación.
Microsoft también publicó tres huellas digitales de archivos SHA-256:
- JavaScript de acceso inicial:
85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17 - Script de Python de acceso inicial:
f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 - Script de Python de acceso inicial:
06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7
Para los equipos de respuesta, el primer caso muestra la consecuencia práctica de las exclusiones de contención: la interrupción automatizada puede dejar intacto el acceso del atacante cuando una identidad privilegiada comprometida queda fuera de su alcance.
Un acusado canadiense extraditado en un caso de minería en universidades
En un anuncio independiente del 3 de noviembre, la Fiscalía federal de EE. UU. para el Distrito Oeste de Nueva York indicó que Ryan James Roach, de 35 años, residente en Saskatchewan, fue extraditado desde Canadá el 28 de octubre. Roach y Mathiew James Stubbings, de 41 años, residente en Ontario, enfrentan cargos relacionados con un presunto plan para robar credenciales y utilizar recursos informáticos de universidades para minar criptomonedas entre junio de 2016 y diciembre de 2019.
La acusación sostiene que los acusados atacaron a instituciones educativas con supercomputadoras en Nueva York, Tennessee, Carolina del Norte y Massachusetts. Según se les imputa, investigaron vulnerabilidades de red, desplegaron malware, robaron credenciales de acceso y las transfirieron a servidores que controlaban, mientras obligaban a los equipos de las víctimas a minar criptomonedas en su beneficio.
Los fiscales afirman que servidores privados virtuales en varios países, registrados con nombres falsos, distribuyeron malware y software de minería y almacenaron las credenciales robadas. Los acusados habrían usado también computadoras comprometidas de otra víctima para ocultar su identidad, y luego realizaron tareas de reconocimiento y ampliaron su acceso dentro de las redes. La acusación alega daños en al menos diez computadoras protegidas en el plazo de un año y pérdidas de al menos 5.000 dólares, incluidos daños en una institución de educación superior del oeste de Nueva York.
Los cargos abarcan la conspiración para obtener información de computadoras protegidas y dañarlas, la obtención de información de computadoras protegidas y el daño intencionado a computadoras protegidas. El anuncio indica una pena máxima de diez años de prisión y una multa de 250.000 dólares. Ambos acusados se presumen inocentes mientras no se demuestre lo contrario.
Roach compareció ante el tribunal y quedó detenido a la espera de una audiencia de detención programada para el 3 de noviembre. Los procedimientos de extradición de Stubbings seguían en curso en Canadá. El caso siguió a una investigación del FBI y de la Sección de Delitos Informáticos y Propiedad Intelectual del Departamento de Justicia, y la Oficina de Asuntos Internacionales del departamento prestó asistencia en la detención y la extradición de Roach.
Legisladores alemanes reciben advertencias de spyware de Apple
La Oficina Federal para la Seguridad de la Información de Alemania, BSI, informó de que, desde el 29 de octubre, varios miembros del Bundestag y otras figuras públicas habían recibido notificaciones de amenaza de Apple. Las alertas se refieren a spyware mercenario: software de vigilancia desarrollado comercialmente que históricamente se ha utilizado con frecuencia por cuenta de actores estatales contra personas concretas.
Según la BSI, Apple describe las notificaciones como advertencias muy fiables de que el destinatario ha sido objetivo, aunque no determinan si el ataque tuvo éxito. La agencia recomienda que los destinatarios supongan que sus dispositivos podrían estar comprometidos, sobre todo si han notado bloqueos inusuales o una descarga rápida de la batería. La BSI avisó a los miembros del Bundestag mediante una carta del 30 de octubre y pidió a las personas afectadas que se pusieran en contacto directamente con ella.
Este tipo de spyware puede infectar un dispositivo sin que el usuario interactúe con él; por ejemplo, mediante un mensaje especialmente diseñado que no hace falta abrir, conocido como ataque de cero clics. Pegasus, de NSO Group, es un ejemplo destacado de esta categoría de software. En un dispositivo comprometido, los atacantes pueden acceder a mensajes, incluidos los de servicios de mensajería cifrada, llamadas, contactos, calendarios y ubicación, y activar el micrófono y la cámara.
La BSI indica que las notificaciones auténticas aparecen en la pantalla de bloqueo del iPhone y en Ajustes, llegan por correo electrónico a las direcciones de Apple Account y se muestran en la parte superior de la página de la cuenta tras iniciar sesión. Apple no pide a los destinatarios que sigan enlaces, abran archivos, instalen aplicaciones o perfiles, ni que revelen contraseñas o códigos de verificación. Quien tenga dudas sobre la autenticidad debe escribir directamente account.apple.com en el navegador.
Los destinatarios deben actualizar de inmediato el sistema operativo, salvo que esté previsto un análisis forense. La BSI también recomienda considerar el Modo de bloqueo, disponible en Ajustes > Privacidad y seguridad > Modo de bloqueo, y después activarlo y reiniciar el dispositivo. Conviene mantenerlo activado, también en un dispositivo de reemplazo, e instalar las actualizaciones futuras cuanto antes. Dificulta los nuevos ataques, pero no elimina una infección existente. Restringe algunos adjuntos, las vistas previas de enlaces y las llamadas de FaceTime de personas desconocidas; las llamadas normales y los mensajes de texto básicos siguen funcionando.
Quienes consideren que el riesgo de compromiso es alto deberían plantearse sustituir el dispositivo, restablecer las cuentas que usaban en él y cambiar su número de teléfono. Los demás pasos que recomienda la BSI son:
- Establecer un código de acceso distinto para el dispositivo; Face ID y Touch ID no lo sustituyen.
- Cambiar las contraseñas de Apple Account, del correo electrónico y de otras cuentas, y activar la autenticación en dos pasos donde aún no esté habilitada.
- Añadir un nuevo número de teléfono de confianza antes de eliminar el antiguo, y configurar de nuevo las aplicaciones de autenticación en cada servicio, en lugar de transferirlas desde el dispositivo anterior.
- Activar el bloqueo de registro de Signal y la verificación en dos pasos de WhatsApp con credenciales nuevas, y después revisar los dispositivos vinculados en ambos servicios y en Apple Account, eliminando los que no se reconozcan.
La BSI pide a los destinatarios de las notificaciones que las comuniquen a [email protected] para que pueda evaluar la magnitud del caso y ofrecer asistencia.
