{"id":7051,"date":"2021-12-15T14:58:33","date_gmt":"2021-12-15T14:58:33","guid":{"rendered":"https:\/\/capitalsoftware.com.ni\/?p=7051"},"modified":"2021-12-15T14:58:36","modified_gmt":"2021-12-15T14:58:36","slug":"el-nuevo-malware-de-robo-de-credenciales-de-microsoft-exchange-podria-ser-peor-que-el-phishing","status":"publish","type":"post","link":"https:\/\/capitalsoftware.com.ni\/?p=7051","title":{"rendered":"El nuevo malware de robo de credenciales de Microsoft Exchange podr\u00eda ser peor que el phishing"},"content":{"rendered":"\n
\"malware.jpg\"\/
Mientras buscaba vulnerabilidades de Exchange adicionales a ra\u00edz de los d\u00edas cero de este a\u00f1o, Kaspersky encontr\u00f3 un complemento de IIS que recopila credenciales de OWA cuando y dondequiera que alguien inicie sesi\u00f3n.<\/figcaption><\/figure><\/div>\n\n\n\n

Apropiadamente apodado, pero discutiblemente pronunciado, Owowa, los investigadores de Kaspersky descubrieron el complemento a ra\u00edz del\u00a0hackeo del servidor Exchange de marzo de 2021<\/a>\u00a0.\u00a0\u00abMientras busc\u00e1bamos implantes potencialmente maliciosos que tuvieran como objetivo los servidores de Microsoft Exchange, identificamos un binario sospechoso que se hab\u00eda enviado a un servicio de m\u00faltiples esc\u00e1neres a fines de 2020\u00bb, dijo Kaspersky en\u00a0su anuncio del descubrimiento<\/a>\u00a0.<\/p>\n\n\n\n

Kaspersky ha descubierto un complemento malicioso para el software del servidor web Internet Information Service (IIS) de Microsoft que, seg\u00fan dijo, est\u00e1 dise\u00f1ado para recopilar credenciales de Outlook Web Access (OWA), el cliente de correo web para Exchange y Office 365.\u00a0<\/p>\n\n\n\n

Owowa es un complemento para IIS, que en s\u00ed mismo es un software creado para administrar servicios de servidor web que Microsoft describe como compuesto por m\u00e1s de 30 m\u00f3dulos independientes.\u00a0Owowa est\u00e1 dise\u00f1ado para instalarse en IIS y, una vez instalado, busca evidencia de que el servidor IIS en el que se encuentra es responsable de exponer el portal OWA del servidor Exchange de una empresa.\u00a0<\/p>\n\n\n\n

Cuando Owowa ve a OWA operando en su m\u00e1quina host, registra cada inicio de sesi\u00f3n exitoso en Exchange a trav\u00e9s de OWA mediante la detecci\u00f3n de tokens de autenticaci\u00f3n. Si detecta uno, Owowa almacena el nombre de usuario, la contrase\u00f1a, la direcci\u00f3n IP del usuario y la marca de tiempo en un archivo temporal cifrado con RSA.<\/p>\n\n\n\n

Aqu\u00ed es donde Owowa se vuelve realmente interesante: todo lo que un atacante necesita para recolectar datos es ingresar uno de los tres nombres de usuario incoherentes en OWA que en realidad son comandos. Uno devuelve el registro de credenciales codificado en base64, el segundo elimina el registro de credenciales y el tercero ejecuta cualquier comando de PowerShell que se escriba en el campo de contrase\u00f1a. \u00a1Ay! <\/p>\n\n\n\n

El que, donde, cuando, quien y como de Owowa<\/strong><\/h2>\n\n\n\n

Para ser claros en una cosa, Owowa tiene el potencial de ser incre\u00edblemente peligroso, dijo el investigador senior de seguridad del Equipo de Investigaci\u00f3n y An\u00e1lisis Global de Kaspersky, Pierre Delcher. <\/p>\n\n\n\n

\u00abEsta es una forma mucho m\u00e1s sigilosa de obtener acceso remoto que enviar correos electr\u00f3nicos de phishing. Adem\u00e1s, aunque las herramientas de configuraci\u00f3n de IIS se pueden aprovechar para detectar tales amenazas, no forman parte de las actividades est\u00e1ndar de monitoreo de archivos y redes, por lo que Owowa podr\u00eda ser f\u00e1cilmente ignorado por herramientas de seguridad \u00ab, dijo Delcher<\/a> . <\/p>\n\n\n\n

Esto tampoco es hipot\u00e9tico: se ha visto a Owowa apuntando a organizaciones gubernamentales y agencias estatales en Malasia, Mongolia, Indonesia y Filipinas, y Kaspersky dijo que probablemente tambi\u00e9n haya v\u00edctimas adicionales en Europa. Una raz\u00f3n m\u00e1s para estar nervioso: Kaspersky no sabe exactamente c\u00f3mo Owowa est\u00e1 infectando inicialmente a sus v\u00edctimas. <\/p>\n\n\n\n

\u00abEl m\u00f3dulo malicioso descrito en esta publicaci\u00f3n representa una opci\u00f3n efectiva para que los atacantes se afiancen firmemente en las redes objetivo persistiendo dentro de un servidor Exchange\u00bb, dijo Kaspersky. Cit\u00f3 razones que incluyen la persistencia cuando se actualizan los servidores de Exchange, la capacidad de enviar c\u00f3digo malicioso en solicitudes inocuas y la naturaleza completamente pasiva que elimina la confianza en la confusi\u00f3n del usuario para tener \u00e9xito. <\/p>\n\n\n\n

Kaspersky dijo que no pudo recuperar suficientes datos para indicar que las infecciones de Owowa se utilizaron para iniciar una cadena de infecci\u00f3n adicional o actividades posteriores a la infecci\u00f3n.\u00a0Kaspersky tambi\u00e9n dijo que no est\u00e1 seguro de c\u00f3mo se implement\u00f3 inicialmente Owowa, fuera de la posibilidad de que sus propietarios se lanzaran a los compromisos del servidor Exchange a principios de 2021.\u00a0<\/p>\n\n\n\n

El c\u00f3digo que Kaspersky pudo analizar de Owowa indica creatividad, dijo, pero tambi\u00e9n un toque de aficionado. \u00abLas pr\u00e1cticas exhibidas por lo que probablemente sea un desarrollador sin experiencia no parecen corresponder con esa focalizaci\u00f3n estrat\u00e9gica\u00bb, dijo Kaspersky. <\/p>\n\n\n\n

Uno de esos casos de c\u00f3digo descuidado fue el acto del creador de \u00abignorar las advertencias expl\u00edcitas de Microsoft\u00bb sobre pr\u00e1cticas de desarrollo de riesgo en m\u00f3dulos HTTP (de los cuales Owowa es uno) que pueden bloquear servidores. Por lo tanto, es b\u00e1sicamente el doble de peligroso para un servidor infectado: o se roban datos o todo se desmorona. <\/p>\n\n\n\n

C\u00f3mo detectar y luchar contra Owowa<\/strong><\/h2>\n\n\n\n

Si su potencial bruto de robo de datos no detectado no es una raz\u00f3n suficiente para tener cuidado con Owowa, considere su potencial bruto de bloquear sus servidores Exchange o IIS como otra raz\u00f3n para tomar las precauciones adecuadas. <\/p>\n\n\n\n

Kaspersky hace las siguientes cuatro recomendaciones para protegerse de Owowa y amenazas similares:<\/p>\n\n\n\n