Ciberseguridad

Los investigadores de seguridad cibernética de Guardicore Labs publicaron un informe detallado sobre una campaña generalizada de robo de datos que esta atacando servidores Windows MS-SQL y PHPMyAdmin alrededor del mundo.

Apodado Nansh0u, la campaña maliciosa está supuestamente siendo dirigida por un grupo de hackers provenientes de china, con una similitud a APT. Ya han infectado unos 50.000 servidores y han instalado un rootkit muy sofisticado, en modo kernel, para evitar que el malware se cierre.

La campaña, inicio el 26 de febrero, pero fue detectada por primera vez a principios de abril, se distribuye en 20 versiones diferentes, hospedada en diferentes proveedores de alojamiento.

El ataque depende de la técnica de fuerza bruta, utiliza un escáner de puerto para encontrar servidores Windows MS-SQL y PHPMyAdmin accesibles al público.

Después de lograr la autenticación con privilegios administrativos, los intrusos ejecutan una secuencia de comandos MS-SQL para descargar la carga malintencionada de un servidor remoto y ejecutarlo con privilegios SYSTEM.

Pero eso no es todo, en segundo plano, la carga malintencionada aprovecha una vulnerabilidad de escala de privilegios (CVE-2014-4113) para obtener privilegios SYSTEM en los sistemas comprometidos.

"Usando estos privilegios de Windows, el atacante inyecta código en el proceso Winlogon. El código inyectado crea un nuevo proceso que hereda los privilegios de Winlogon SYSTEM, proporcionando permisos equivalentes a los de la versión anterior."

Después, se instala un malware para minar criptomonedas dentro de los servidores comprometidos y comienzan a minar la criptomeda "TurtleCoin".

Además, el malware se protege, para evitar se inhabilitado, utilizando un rootkit en modo kernel, firmado digitalmente.

"Descubrimos que el malware tenía una firma digital emitida por la autoridad de certificación Verisign. El certificado, que expiró, lleva el nombre de una falsa empresa china - Hangzhou Hootian Network Technology”.

Los investigadores también compartieron una lista completa de IoC (indicadores de compromiso) y una secuencia de comandos basada en PowerShell, para que los administradores de Windows puedan comprobar si sus sistemas están infectados o no.

Como el ataque depende de combinaciones débiles de nombre de usuario y contraseña para servidores MS-SQL y PHPMyAdmin, Se aconsejan siempre mantener una contraseña fuerte y compleja para sus cuentas.