Feral Wolf atacó a organizaciones rusas mediante servidores Confluence expuestos, configuraciones 1C inseguras y contratistas comprometidos, desplegando finalmente ransomware. La campaña explotó la vulnerabilidad CVE-2023-22515 de Atlassian Confluence
¿Cuál es la amenaza?
Feral Wolf es un grupo de ransomware con fines lucrativos que ataca a organizaciones explotando sistemas empresariales expuestos, configuraciones débiles y software vulnerable. El grupo lleva a cabo un extenso reconocimiento, establece accesos encubiertos, se esfuerza por ocultar su actividad e implementa el ransomware GenieLocker.
¿Por qué es digno de mención?
El grupo enruta el tráfico de comando y control a través de túneles basados en MQTT, Matrix y RDP para mimetizarse con la actividad legítima, lo que dificulta su detección. Los atacantes también utilizan herramientas y scripts antiforense para borrar registros, historial de línea de comandos y otros elementos clave, lo que puede obstaculizar la respuesta a incidentes y las investigaciones.
Un ataque exitoso puede provocar la vulneración de toda la red, la interrupción de la actividad empresarial, el cifrado de datos, la pérdida de pruebas forenses y prolongados esfuerzos de recuperación.
¿Cuál es la exposicion o riesgo?
El riesgo se deriva de una combinación de vulnerabilidades y prácticas de seguridad deficientes. La vulnerabilidad CVE-2023-22515 proporciona acceso inicial a través de Confluence, mientras que las vulnerabilidades CVE-2021-4034 y CVE-2026-31431 permiten la escalada de privilegios una vez que los atacantes obtienen acceso a un host.
En la actividad reportada, los atacantes también explotaron sistemas 1C: Enterprise con seguridad deficiente y credenciales de base de datos débiles. Esto demuestra que la aplicación de parches por sí sola no es suficiente cuando las interfaces administrativas permanecen expuestas o carecen de autenticación.
¿Cuáles son las recomendaciones?
La seguridad moderna necesita reducir la dependencia de que cada usuario sea capaz de reconocer una amenaza. La capacitación y la concientización siguen siendo importantes, pero una organización no debería dejar toda la responsabilidad en el momento del clic. Por lo que las siguientes recomendaciones permiten mitigar el impacto de la vulnerabilidad:
- Aplique parches o actualice las instancias afectadas de Confluence Server y Data Center, e investigue si existen cuentas o complementos no autorizados.
- Actualizar los núcleos de Linux y los paquetes polkit para solucionar las vulnerabilidades CVE-2021-4034 y CVE-2026-31431.
- En la medida de lo posible, elimine la exposición directa a Internet de Confluence, los gestores de clústeres 1C, las bases de datos y los servicios administrativos.
- Implemente una autenticación sólida para 1C:Enterprise, PostgreSQL y otras interfaces administrativas.
- Revise Docker, PostgreSQL y los controles de aislamiento de host/red para evitar el movimiento de contenedores entre hosts.
Phishing en tu correo electrónico
Deja tu comentario