El pasado 30 de julio, Microsoft publicó un artículo en su blog de inteligencia de amenazas donde alertaba del descubrimiento de una nueva vulnerabilidad. Esta afecta a los hipervisores EXSi de VMware y aseguran que han detectado a varios grupos operadores de ransomware que se han aprovechado de ella.
Análisis de la vulnerabilidad
Ha sido identificada como CVE-2024-37085 y se trata de una vulnerabilidad de omisión de autenticación de integración de Active Directory que afecta a los hipervisores VMware EXSi.
Los hipervisores ESXi alojan máquinas virtuales que pueden incluir servidores críticos en una red. En un ataque de ransomware, tener permiso administrativo completo en un hipervisor ESXi puede significar que el agente malicioso puede cifrar el sistema de archivos, lo que puede afectar la capacidad de los servidores alojados para ejecutarse y funcionar. También permite al atacante acceder a las máquinas virtuales alojadas y posiblemente exfiltrar datos o moverse lateralmente dentro de la red.
Cabe destacar que ESXi no debería estar expuesto a internet, por lo que los atacantes deben tener acceso previo al entorno de destino para poder explotar la vulnerabilidad y escalar privilegios.
Varios operadores de ransomware como Storm-0506, Storm-1175, Octo Tempest y Manatee Tempest están implementando en sus ataques los ransomware conocidos como Akira y Black Basta. La técnica de ataque incluye los siguientes comandos:
net group “ESX Admins” /domain /add
net group “ESX Admins” username /domain /add
- Agregar el grupo “ESX Admins” al dominio y agregar un usuario a él: este método es explotado activamente por los actores de amenazas mencionados anteriormente. En este método, si el grupo “ESX Admins” no existe, cualquier usuario del dominio con la capacidad de crear un grupo puede escalar privilegios a acceso administrativo completo a los hipervisores ESXi unidos al dominio creando dicho grupo y luego agregándose a sí mismo o a otros usuarios bajo su control al grupo.
- Cambiar el nombre de cualquier grupo del dominio a “Administradores de ESX” y agregar un usuario al grupo o usar un miembro existente del grupo: este método es similar al primero, pero en este caso el actor de la amenaza necesita un usuario que tenga la capacidad de cambiar el nombre de algunos grupos arbitrarios y cambiar el nombre de uno de ellos a “Administradores de ESX”. El actor de la amenaza puede luego agregar un usuario o usar un usuario que ya exista en el grupo para escalar privilegios a acceso administrativo completo. Microsoft no observó este método en la práctica.
- Actualización de privilegios del hipervisor ESXi: incluso si el administrador de red asigna cualquier otro grupo del dominio como grupo de administración del hipervisor ESXi, los privilegios administrativos completos de los miembros del grupo “Administradores de ESX” no se eliminan de inmediato y los actores de amenazas aún podrían abusar de ellos. Microsoft no observó este método en la práctica.
Orientación sobre mitigación
- VMware ESXi 8.0 (corregido en ESXi80U3-24022510)
- VMware ESXi 7.0 (no hay parches planificados)
- VMware Cloud Foundation 5.x (corregida en 5.2)
- VMware Cloud Foundation 4.x (no hay parches planificados)
- En el caso de no poder actualizar el software, se pueden seguir las siguientes recomendaciones para reducir el riesgo:
- Validar que el grupo “ESX Admins” exista en el dominio y esté protegido.
- Deniegue manualmente el acceso a este grupo modificando la configuración en el propio hipervisor ESXi. Si no desea que el grupo de administradores de ESX de Active Directory tenga acceso de administrador completo, puede deshabilitar este comportamiento mediante la configuración avanzada del host:
'Config.HostAgent.plugins.hostsvc.esxAdminsGroupAutoAdd'.
- Cambie el grupo de administración a un grupo diferente en el hipervisor ESXi.
- Agregue detecciones personalizadas en XDR/SIEM para el nuevo nombre de grupo.
- Configure el envío de registros de ESXi a un sistema SIEM y monitoree el acceso administrativo completo sospechoso.
- Sanitización de credenciales: para utilizar los diferentes métodos de vulnerabilidad, los actores de amenazas necesitan controlar a un usuario con privilegios elevados en la organización. Por lo tanto, nuestra recomendación es asegurarse de proteger las cuentas con privilegios elevados en la organización, especialmente aquellas que pueden administrar otros grupos de dominios:
- Imponga la autenticación multifactor (MFA) en todas las cuentas, elimine los usuarios excluidos de la MFA y exija estrictamente la MFA en todos los dispositivos, en todas las ubicaciones, siempre.
- Habilite los métodos de autenticación sin contraseña (por ejemplo, Windows Hello, claves FIDO o Microsoft Authenticator) para las cuentas que admitan la autenticación sin contraseña. Para las cuentas que aún requieren contraseñas, use aplicaciones de autenticación como Microsoft Authenticator para MFA.
- Aísle las cuentas privilegiadas de las cuentas de productividad para proteger el acceso administrativo al entorno.
- Mejore la posición de los activos críticos: identifique sus activos críticos en la red, como los hipervisores ESXi y los vCenters (una plataforma centralizada para controlar los entornos VMware vSphere), y asegúrese de protegerlos con las últimas actualizaciones de seguridad, los procedimientos de monitoreo adecuados y los planes de respaldo y recuperación.
- Identifique activos vulnerables: implemente escaneos autenticados de dispositivos de red mediante SNMP a través del portal de Microsoft Defender para identificar vulnerabilidades en dispositivos de red como ESXi y recibir recomendaciones de seguridad.
No hay comentarios:
Publicar un comentario