El Comité Internacional de la Cruz Roja (CICR) publicó más detalles sobre un ataque que descubrieron el mes pasado, relacionando el incidente con una vulnerabilidad de omisión de autenticación en Zoho ManageEngine ADSelfService Plus, una solución de inicio de sesión único y administración de contraseñas de autoservicio.
Etiquetada como CVE-2021-40539, la vulnerabilidad fue destacada por varias empresas el año pasado, incluidas Microsoft, Palo Alto Networks y Rapid7. Tanto la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) como la Oficina Federal Alemana para la Protección de la Constitución (BfV) emitieron advertencias de que los grupos APT estaban explotando el problema.
En un aviso conjunto de septiembre, CISA, el FBI y el Comando Cibernético de la Guardia Costera de EE. UU. dijeron que los actores de APT ya habían utilizado CVE-2021-40539 para apuntar a «instituciones académicas, contratistas de defensa y entidades de infraestructura crítica en múltiples sectores industriales, incluido el transporte». , TI, fabricación, comunicaciones, logística y finanzas».
En un comunicado el miércoles, el CICR admitió que no aplicó el parche para CVE-2021-40539 antes de que fueran atacados inicialmente el 9 de noviembre, solo un día después de que Microsoft advirtiera que DEV-0322, un grupo que opera fuera de China, estaba siendo atacado. explotando la vulnerabilidad.
«Los atacantes usaron un conjunto muy específico de herramientas avanzadas de piratería diseñadas para la seguridad ofensiva. Estas herramientas son utilizadas principalmente por grupos de amenazas persistentes avanzadas, no están disponibles públicamente y, por lo tanto, están fuera del alcance de otros actores. Los atacantes usaron técnicas sofisticadas de ofuscación para ocultar y proteger sus programas maliciosos. Esto requiere un alto nivel de habilidades que solo está disponible para un número limitado de actores», dijo el CICR.
«Determinamos que el objetivo del ataque era porque los atacantes crearon un fragmento de código diseñado exclusivamente para ejecutarse en los servidores del CICR objetivo. Las herramientas utilizadas por el atacante se referían explícitamente a un identificador único en los servidores objetivo (su dirección MAC). El anti -Las herramientas de malware que habíamos instalado en los servidores objetivo estaban activas y detectaron y bloquearon algunos de los archivos utilizados por los atacantes. Pero la mayoría de los archivos maliciosos implementados fueron diseñados específicamente para eludir nuestras soluciones antimalware, y solo cuando Instalé agentes avanzados de detección y respuesta de punto final (EDR) como parte de nuestro programa de mejora planificado que se detectó esta intrusión».
La organización agregó que CVE-2021-40539 permite a los piratas informáticos maliciosos colocar shells web y realizar actividades posteriores a la explotación, como comprometer las credenciales del administrador, realizar movimientos laterales y exfiltrar colmenas de registro y archivos de Active Directory.
Una vez que los piratas informáticos ingresaron a los sistemas del CICR, utilizaron otras herramientas de seguridad ofensivas para ocultar su identidad y hacerse pasar por usuarios y administradores legítimos. Los piratas informáticos pasaron 70 días dentro del sistema del CICR antes de ser descubiertos en enero.
El CICR no atribuyó el ataque, pero dijo que todavía está dispuesto a comunicarse con los piratas informáticos. Actualmente están trabajando con el Centro Nacional de Seguridad Cibernética (NCSC) de Suiza, así como con las autoridades nacionales en los países donde operan las Sociedades Nacionales de la Cruz Roja y la Media Luna Roja.
El hack filtró los nombres y la información de contacto de 515.000 personas que forman parte del programa Restoring Family Links, que trabaja para reconectar a personas y niños desaparecidos con sus familias después de guerras, violencia u otros problemas.
La información personal incluye los nombres, ubicaciones y más de personas desaparecidas y sus familias, niños no acompañados o separados, detenidos y otras personas que reciben servicios del Movimiento de la Cruz Roja y de la Media Luna Roja como resultado de un conflicto armado, desastres naturales o migración. .
También se violó la información de inicio de sesión de unos 2.000 miembros del personal y voluntarios de la Cruz Roja y la Media Luna Roja.
El CICR dijo que todavía está en proceso de contactar a todas las personas involucradas en el ataque, y señaló que el proceso «es complejo y llevará tiempo».
«Aquellos en mayor riesgo son nuestra principal prioridad. Parte de esto se está haciendo a través de llamadas telefónicas, líneas directas, anuncios públicos, cartas y, en algunos casos, requiere que los equipos viajen a comunidades remotas para informar a las personas en persona. Estamos haciendo todo lo posible esfuerzo por contactar a las personas a las que puede ser difícil llegar, como los migrantes», dijo el CICR, proporcionando una lista de detalles de contacto y preguntas frecuentes para aquellos que pueden verse afectados.
«También hemos desarrollado soluciones alternativas que permiten a los equipos de la Cruz Roja y de la Media Luna Roja en todo el mundo continuar brindando servicios básicos de rastreo para las personas afectadas por esta brecha mientras reconstruimos un nuevo entorno digital para la Agencia Central de Rastreo».
El Departamento de Estado de EE. UU. destacó el ataque en un comunicado a principios de este mes, e instó a otros países a alertar sobre el incidente.
El CICR expresó su preocupación de que los datos robados serían «utilizados por Estados, grupos no estatales o individuos para contactar o encontrar personas para causar daño». El CICR también dijo que el ataque afectaría su capacidad para trabajar con poblaciones vulnerables que tal vez ya no les confíen información confidencial.
“Este ataque es una violación extrema de su privacidad, seguridad y derecho a recibir protección y asistencia humanitaria”, dijo la organización.
«Necesitamos un espacio humanitario digital seguro y confiable en el que nuestra información operativa y, lo que es más importante, los datos recopilados de las personas a las que servimos, estén protegidos. Este ataque ha violado ese espacio humanitario digital seguro en todos los sentidos».
