Microsoft dice que su equipo del Centro de Inteligencia de Amenazas de Microsoft (MSTIC) ha detectado ciberataques en el mundo real que están explotando activamente la vulnerabilidad de Windows Zerologon . Los ataques, que la compañía ha atribuido al equipo de piratas informáticos patrocinado por el estado iraní conocido como MERCURY o Muddy Water, han estado ocurriendo durante las últimas dos semanas.
“MSTIC ha observado actividad del actor estatal MERCURY utilizando el exploit CVE-2020-1472 (ZeroLogon) en campañas activas durante las últimas 2 semanas. Recomendamos encarecidamente aplicar parches ”, dijo Microsoft en un tweet.
El grupo Muddy Water APT, que ha estado activo desde 2017, apunta principalmente a países de Oriente Medio, aunque se ha observado que los piratas informáticos apuntan a víctimas en India y Estados Unidos. Por lo general, el grupo compromete a sus objetivos a través de ataques de spear phishing que entregan la puerta trasera de POWERSTATS, que puede recibir comandos de los atacantes, lo que le permite exfiltrar archivos del sistema en el que se está ejecutando, ejecutar scripts adicionales, eliminar archivos y más.
La vulnerabilidad Zerologon (CVE-2020-1472) es un problema crítico de elevación de privilegios que afecta al protocolo remoto Netlogon, un protocolo heredado que todavía es compatible con todos los servidores de Windows para permitirles trabajar en un entorno de dominio. La vulnerabilidad podría ser utilizada por un atacante con acceso a un controlador de dominio de Windows para hacerse cargo del dominio de Windows. CVE-2020-1472 afecta a los sistemas que ejecutan Windows Server 2008 R2 y versiones posteriores.
El mes pasado, el Departamento de Seguridad Nacional de EE. UU. (DHS) emitió una directiva de emergencia que ordena a las agencias federales de EE. UU. Que reparen de inmediato la vulnerabilidad de Zerologon. En ese momento, Microsoft también advirtió a los usuarios sobre la vulnerabilidad de Zerologon que se explota en la naturaleza.
https://www.cybersecurity-help.cz/blog/1613.html
