Detalles de las Vulnerabilidades:

Canon, conocida mundialmente por sus productos ópticos y de captura y reproducción de imágenes, como cámaras, impresoras y fotocopiadoras, ha identificado tres vulnerabilidades críticas que afectan a sus impresoras multifuncionales de oficina pequeña y modelos de impresoras láser.

Las vulnerabilidades se describen como sigue:

CVE-2024-12647 (Desbordamiento de Búfer en Fuentes CPCA):

• Afecta el procesamiento de fuentes CPCA en impresoras multifuncionales de oficina pequeña y láser. Un atacante remoto podría provocar un desbordamiento del buffer al procesar fuentes durante la descarga de datos, lo que podría hacer que el producto se detenga o ejecute código arbitrario en el sistema de destino.

CVE-2024-12648 (Desbordamiento de Búfer en Etiquetas EXIF ​​de Datos TIFF):

• Este fallo se presenta en el procesamiento de etiquetas EXIF ​​de imágenes TIFF en las impresoras multifuncionales y láser. Un atacante podría aprovechar esta vulnerabilidad para provocar la detención del producto o la ejecución de código malicioso.

CVE-2024-12649 (Desbordamiento de Búfer en Fuentes XPS):

• Afecta el procesamiento de fuentes de datos XPS. Un atacante podría inducir un desbordamiento del buffer al interactuar con las impresoras afectadas, lo que permitiría la ejecución de código arbitrario o la detención del dispositivo.

Productos Afectados:

Los siguientes modelos de impresoras de Canon son vulnerables a los desbordamientos de búfer mencionados anteriormente:

• Imagen en colorCLASS LBP632CDW (versión 05.04)
• Imagen en colorCLASS LBP633CDW (versión 05.04)
• Imagen en colorCLASS MF652CW (versión 05.04)
• Imagen en colorCLASS MF653CDW (versión 05.04)
• Imagen en colorCLASS MF654CDW (versión 05.04)
• Imagen en colorCLASS MF656CDW (versión 05.04)
• i-SENSYS MF657Cdw (versión 05.04)
• i-SENSYS MF655Cdw (versión 05.04)
• i-SENSYS MF651Cw (versión 05.04)
• i-SENSYS LBP633Cdw (versión 05.04)
• i-SENSYS LBP631Cw (versión 05.04)

Fases del Ataque

1. Archivo LNK y Ejecución de PowerShell

El ataque comienza con un archivo LNK que ejecuta un comando de PowerShell oculto. Este comando se conecta a un servidor remoto y descarga un script malicioso para iniciar la siguiente etapa del ataque.

El análisis de estos archivos revela un identificador único que permite rastrear su origen y conexión con otros archivos maliciosos asociados a Coyote. Se han identificado varias URLs que alojan estos scripts, lo que sugiere una infraestructura bien organizada para distribuir el malware.

2. Cargador y Shellcode

El archivo DLL denominado "bmwiMcDec" actúa como cargador, inyectando la carga útil "npuGDec" en la memoria del sistema. Utiliza técnicas de inyección de procesos para ejecutar código malicioso sin ser detectado, empleando la herramienta Donut para descifrar y ejecutar la carga final de MSIL (lenguaje intermedio de Microsoft).

Una vez descifrado, el malware establece persistencia en el sistema modificando el registro de Windows para asegurar su ejecución en cada inicio. Posteriormente, recopila información del sistema y la envía a servidores remotos.

3. Ejecución del Troyano Bancario Coyote

La carga útil final ejecuta el troyano Coyote, que implementa diversas técnicas para evadir análisis y detección. Algunas de sus funcionalidades incluyen:

• Verificación del entorno: Detecta nombres de usuario y herramientas de virtualización para evadir entornos de análisis.
• Monitoreo de actividad: Supervisa la ventana activa en busca de accesos a sitios financieros.
• Interacción con el servidor C2: Se comunica con servidores remotos para recibir instrucciones, las cuales pueden incluir la captura de pantalla, el cierre de procesos, la manipulación de ventanas activas y la inyección de superposiciones de phishing.

Figura 1: Cadena de ataque

Exploit de SSE-C en Ataques de Ransomware

SSE-C:

Características y Funcionamiento AWS SSE-C permite a los clientes gestionar sus propias claves de cifrado en Amazon S3, proporcionando un mayor control sobre la seguridad de sus datos. Sin embargo, esta funcionalidad también presenta riesgos cuando es utilizada por actores malintencionados. Entre sus principales características se encuentran:

• Claves controladas por el cliente, sin almacenamiento en AWS.
• Validación mediante HMAC para verificar claves de descifrado.
• Cifrado de datos en tránsito y en reposo.

Figura 1: Alerta para identificar sobrescrituras de objetos cifrados SSE-C

Abuso de SSE-C en Ransomware:

Los atacantes han desarrollado técnicas para explotar SSE-C con el siguiente flujo de ataque:

1. Compromiso de credenciales: Obtienen accesos válidos mediante phishing, repositorios expuestos o compra en mercados clandestinos.
2. Cifrado malicioso: Utilizan SSE-C para reencriptar datos en S3 con claves propias, bloqueando el acceso legítimo.
3. Eliminación de backups: Modifican políticas de ciclo de vida para borrar archivos en pocos días.
4. Exigencia de rescate: Dejan notas de extorsión en los directorios afectados con instrucciones de pago.

Mitigación y Protección:

Para reducir el riesgo de ataques de ransomware en entornos AWS, se recomienda implementar las siguientes medidas:

1. Habilitación de Versionado de S3 y MFA Delete

• Permite recuperar versiones previas de objetos en caso de cifrado malicioso.
• MFA Delete impide la eliminación de datos sin una autenticación adicional.

2. Restricción del Uso de SSE-C

• Configurar políticas de bucket para bloquear el uso no autorizado de SSE-C.
• Aplicar controles de acceso basados en principios de menor privilegio.

3. Monitoreo y Detección Temprana

• Habilitar CloudTrail para registrar eventos de cifrado y descifrado.
• Implementar detección de anomalías para identificar accesos inusuales.

Figura 2: Alerta sobre control de versiones de bucket no habilitado

Detalles de las vulnerabilidades

Las vulnerabilidades detectadas afectan directamente la gestión de la memoria en el motor V8 de Google Chromium, permitiendo que atacantes remotos exploten estos fallos mediante la manipulación de contenido web malicioso.

CVE-2025-0611 (Desbordamiento de Búfer en V8 de Google Chromium):

• Esta vulnerabilidad se debe a un error de límite en el motor JavaScript V8. Un atacante remoto no autenticado puede engañar a la víctima para que acceda a una página web maliciosamente diseñada, lo que provocaría una corrupción de memoria y la ejecución de código arbitrario en el sistema afectado.

CVE-2025-0612 (Acceso a Memoria Fuera de los Límites en V8 de Google Chromium):

• Esta vulnerabilidad permite que un atacante remoto no autenticado ejecute código arbitrario y tome el control del sistema afectado. En versiones de Google Chrome anteriores a la 132.0.6834.110, el acceso indebido a la memoria en el motor V8 puede generar corrupción del montón a través de páginas HTML diseñadas específicamente para explotar esta falla.

Productos Afectados

Los siguientes productos se encuentran en riesgo debido a estas vulnerabilidades:

• Google Chromium versiones 132.0.6834.0 a 132.0.6834.109.

Información Clave de Ciberseguridad

Objetivos y Motivación

Los atacantes buscaron obtener información sensible de empleados gubernamentales y datos confidenciales de organizaciones clave, reflejando una intención de espionaje estratégico. La persistencia y meticulosidad observadas sugieren una operación bien planificada y respaldada por recursos significativos.

Vectores de Ataque y Explotación

La campaña CL-STA-0048 se basó en la explotación de vulnerabilidades en servidores expuestos, incluyendo:

• Sistema de información de Internet (IIS)
• Apache Tomcat
• Servicios MSSQL

Los atacantes demostraron alta adaptabilidad, ajustando sus métodos en función de la efectividad de sus intentos de intrusión.

Técnicas de Exfiltración de Datos

Entre las técnicas utilizadas para la extracción de información destacan:

• Exfiltración a través de DNS mediante ping: Uso de solicitudes DNS para transferir datos a los atacantes.
• Abuso de SQLcmd: Robo de datos de bases de datos SQL mediante la herramienta SQLcmd.

Figura 1: Ejecución de línea de comandos de recolección de base de datos.

Técnicas de Distribución de Malware

Los atacantes emplearon sofisticados métodos de distribución de malware, tales como:

• Hex Staging: Fragmentación y ensamblaje de cargas útiles en el sistema comprometido.
• Carga lateral de DLL: Uso de binarios legítimos para ejecutar código malicioso.

Malware y Herramientas Utilizadas

• PlugX: RAT modular utilizado en operaciones de ciberespionaje.
• Cobalt Strike: Herramienta de pruebas de penetración utilizada maliciosamente.
• VPN de SoftEther: Empleada para comunicaciones encubiertas.
• Winos4.0 Downloader: Descargador basado en KCP para la ejecución de cargas maliciosas.

Conexión con Actores de Amenaza Chinos

• El análisis de TTPs, herramientas y objetivos apunta a un nexo con grupos de amenazas chinos, con similitudes a DragonRank, aunque CL-STA-0048 es tratado como un grupo independiente.

Figura 2: Detección del flujo de ejecución de PlugX

Impacto y Riesgos

• Compromiso de Credenciales: Las credenciales filtradas podrían ser usadas para accesos ilegítimos, escalamiento de privilegios y movimientos laterales dentro de las redes afectadas.
• Exposición de la Arquitectura de Red: Los archivos filtrados podrían contener información crítica sobre configuraciones de seguridad y dispositivos en la red.
• Persistencia del Ataque: Aun con parches aplicados, las credenciales comprometidas pueden ser reutilizadas por atacantes si no han sido actualizadas.
• Ingeniería Social y Ransomware: La información filtrada podría ser utilizada para ataques dirigidos a empleados o para desplegar malware dentro de la organización.

Acciones Urgentes

• Actualizar Dispositivos: Asegurar que todas las implementaciones de FortiGate tengan la última versión de firmware.

• Rotar Credenciales: Cambiar todas las contraseñas y claves de acceso, incluyendo las de VPN e IPsec.

• Revisar Configuraciones: Identificar reglas inusuales en los firewalls y eliminar posibles puertas traseras.

• Revocar Certificados Expuestos: Cualquier clave o certificado filtrado debe ser reemplazado.

• Implementar Autenticación Multifactor (MFA): Reforzar accesos críticos con MFA para prevenir accesos no autorizados.

• Supervisar Actividad Sospechosa: Analizar registros de actividad para detectar patrones de comportamiento anómalos.

• Adoptar un Enfoque de Confianza Cero: Asumir que la red ya está comprometida y aplicar medidas de segmentación y monitoreo estricto.

Detalles de la amenaza:

Investigaciones recientes han revelado que los ataques de ransomware dirigidos a sistemas VMware ESXi no solo buscan cifrar datos y exigir pagos, sino que también reutilizan estos dispositivos como puntos de acceso persistentes dentro de las redes corporativas.

Los dispositivos ESXi, al no ser monitoreados con la misma rigurosidad que otros sistemas, están siendo explotados para redirigir tráfico malicioso, ocultando la comunicación con los servidores C2 y permitiendo la persistencia a largo plazo en la red comprometida.

Los atacantes se benefician de la estabilidad de estos dispositivos, ya que rara vez se apagan inesperadamente, lo que convierte esta técnica de túnel SSH en una puerta trasera semipermanente que es difícil de detectar y eliminar.

Recomendaciones de Seguridad:

Para mitigar esta amenaza y fortalecer la seguridad de los entornos VMware ESXi, se recomienda:

• Configurar el reenvío de registros de ESXi para centralizar la recopilación de eventos y facilitar las investigaciones forenses en caso de incidentes de seguridad.
• Monitorear y analizar regularmente los siguientes archivos de registro en busca de indicios de actividad sospechosa relacionada con túneles SSH:

• /var/log/shell.log (Registro de actividad en la shell de ESXi).
• /var/log/hostd.log (Registro del agente del host).
• /var/log/auth.log (Registro de autenticaciones).
• /var/log/vobd.log (Registro del daemon observador de VMware).

• Implementar medidas de detección y respuesta específicas para el uso indebido de SSH y la exfiltración de datos mediante túneles SOCKS.
• Aplicar políticas de acceso restrictivas para reducir la exposición de los sistemas ESXi a accesos no autorizados.
• Actualizar y reforzar los controles de seguridad en los servidores de virtualización para prevenir la explotación de vulnerabilidades.