0 
0 As violações envolvendo phishing e comprometimento de credenciais receberam muita atenção nos últimos anos devido à frequência com que os agentes de ameaças empregaram as táticas na execução de ataques direcionados e oportunistas. Mas isso não significa que as organizações empresariais podem se dar ao luxo de diminuir um pouco seu foco na correção de vulnerabilidades.
Um relatório da Kaspersky esta semana identificou mais invasões iniciais no ano passado resultantes da exploração de vulnerabilidades em aplicativos voltados para a Internet do que violações envolvendo e-mails maliciosos e contas comprometidas combinadas . E os dados que a empresa coletou até o segundo trimestre de 2022 sugerem que a mesma tendência pode estar ocorrendo este ano também.
A análise da Kaspersky de seus dados de resposta a incidentes de 2021 mostrou que as violações envolvendo explorações de vulnerabilidades aumentaram de 31,5% de todos os incidentes em 2020 para 53,6% em 2021. No mesmo período, os ataques associados ao uso de contas comprometidas para obter acesso inicial diminuíram de 31,6 % em 2020 para 17,9% no ano passado. As invasões iniciais resultantes de e-mails de phishing diminuíram de 23,7% para 14,3% durante o mesmo período.
Falhas no Exchange Server alimentam o frenesi de exploração
A Kaspersky atribuiu o aumento na atividade de exploração no ano passado como provavelmente vinculado às várias vulnerabilidades críticas do Exchange Server que a Microsoft divulgou, incluindo um conjunto de quatro dias zero em março de 2021, conhecidos como falhas do ProxyLogon (CVE-2021-26855, CVE-2021- 26857, CVE-2021-26858, CVE-2021-27065). Quando encadeados, eles permitem que os invasores obtenham controle remoto completo sobre os Exchange Servers locais.
Os invasores – que incluíam gangues criminosas organizadas e grupos patrocinados pelo Estado da China – rapidamente exploraram dezenas de milhares de sistemas Exchange Server vulneráveis e lançaram shells da Web neles antes que a Microsoft pudesse lançar um patch para as falhas. As vulnerabilidades suscitaram considerável preocupação devido à sua onipresença e gravidade. Eles até levaram o Departamento de Justiça dos EUA a autorizar o FBI a tomar a medida sem precedentes de remover proativamente os shells da Web ProxyLogon de servidores pertencentes a centenas de organizações — na maioria dos casos, sem qualquer notificação.
Também impulsionando a atividade de exploração em 2021 estava outro trio de vulnerabilidades do Exchange Server coletivamente rotuladas como ProxyShell (CVE-2021-31207, CVE-2021-34473, CVE-2021-34523) que os invasores usaram extensivamente para descartar ransomware e comprometimento de e-mail comercial (BEC ) ataques.
Mais de um ano depois, as vulnerabilidades ProxyLogon e ProxyShell continuam sendo alvos de intensa atividade de exploração, diz Konstantin Sapronov, chefe da Equipe Global de Resposta a Emergências da Kaspersky. Uma das mais graves dessas falhas ( CVE-2021-26855 ) também foi a mais visada. A Kaspersky observou que a vulnerabilidade – parte do conjunto ProxyLogon – foi explorada em 22,7% de todos os incidentes envolvendo explorações de vulnerabilidades às quais respondeu em 2021, e a falha continua sendo a favorita entre os invasores este ano também, de acordo com Sapronov.
Mesma tendência de exploração provavelmente acontecendo em 2022
Embora várias vulnerabilidades graves tenham surgido este ano – incluindo a onipresente vulnerabilidade Apache Log4j (CVE-2021-44228) – as vulnerabilidades mais exploradas de 2021 também permanecem muito prevalentes em 2022, diz Sapronov, mesmo além dos bugs do servidor Exchange. Por exemplo, a Kaspersky identificou uma falha no mecanismo de navegador MSHTML da Microsoft (CVE-2021-40444, corrigido em setembro passado) como a vulnerabilidade mais atacada no segundo trimestre de 2022.
“Vulnerabilidades em softwares populares como o MS Exchange Server e a biblioteca Log4j resultaram em um grande número de ataques”, observa Sapronov. “Nosso conselho para os clientes corporativos é prestar muita atenção aos problemas de gerenciamento de patches.”
Hora de priorizar a aplicação de patches
Outros notaram um aumento semelhante na atividade de exploração de vulnerabilidades. Em abril, pesquisadores da equipe de pesquisa de ameaças da Unidade 42 da Palo Alto Networks observaram como 31%, ou quase um em cada três incidentes , eles analisaram até aquele ponto em 2022 envolviam explorações de vulnerabilidade. Em mais da metade (55%) deles, os agentes de ameaças tinham como alvo o ProxyShell.
Os pesquisadores de Palo Alto também descobriram que os agentes de ameaças normalmente verificam sistemas com uma falha recém-divulgada literalmente minutos após o anúncio do CVE. Em um exemplo, eles observaram uma falha de desvio de autenticação em um dispositivo de rede F5 (CVE-2022-1388) sendo direcionado 2.552 vezes nas primeiras 10 horas após a divulgação da vulnerabilidade.
Atividade pós-exploração é difícil de detectar
A análise da Kaspersky de seus dados de resposta a incidentes mostrou que, em quase 63% dos casos, os invasores conseguiram passar despercebidos em uma rede por mais de um mês após a entrada inicial. Em muitos casos, isso ocorreu porque os invasores usaram ferramentas e estruturas legítimas, como PowerShell, Mimikatz e PsExec, para coletar dados, escalar privilégios e executar comandos.
Quando alguém notou rapidamente uma violação, normalmente foi porque os invasores criaram danos óbvios, como durante um ataque de ransomware. “É fácil detectar um ataque de ransomware quando seus dados estão criptografados, pois os serviços não estão disponíveis e você tem uma nota de resgate no seu monitor”, diz Sapronov.
Mas quando o alvo são os dados de uma empresa, os invasores precisam de mais tempo para percorrer a rede da vítima para coletar as informações necessárias. Nesses casos, os invasores agem de forma mais furtiva e cautelosa, o que dificulta a detecção desses tipos de ataques. “Para detectar esses casos, sugerimos empregar uma pilha de ferramentas de segurança com telemetria estendida de detecção e resposta (EDR) e implementar regras para detecção de ferramentas difundidas usadas por adversários”, diz ele.
Mike Parkin, engenheiro técnico sênior da Vulcan Cyber, diz que a verdadeira lição para as organizações corporativas é que os invasores aproveitarão qualquer oportunidade que puderem para violar uma rede.
“Com uma variedade de vulnerabilidades exploráveis, não é uma surpresa ver um aumento”, diz ele. Se os números são maiores para vulnerabilidades em ataques de credenciais de engenharia social, é difícil dizer, observa ele.
“Mas o resultado final é que os agentes de ameaças usarão as explorações que funcionam. Se houver uma nova exploração de código remoto em algum serviço do Windows, eles vão migrar para ela e violar o maior número possível de sistemas antes que os patches sejam lançados ou as regras de firewall sejam lançadas. implantado”, diz.
O verdadeiro desafio são as vulnerabilidades de cauda longa: as mais antigas, como ProxyLogon, com sistemas vulneráveis que foram perdidos ou ignorados, diz Parkin, acrescentando que a correção deve ser uma prioridade.
FONTE: DARK READING