Advertência da CISA sobre Cookies Persistentes Sem Criptografia

Recentemente, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiu um alerta sobre o uso de cookies persistentes sem criptografia por agentes de ameaças que utilizam o módulo F5 BIG-IP Local Traffic Manager (LTM). Essa prática tem sido observada como um meio para a realização de reconhecimento em redes-alvo.

Atividades Observadas

A CISA observou que o módulo está sendo usado para enumerar dispositivos que não estão expostos à internet na rede. Contudo, a agência não revelou a identidade dos responsáveis por essa atividade nem os objetivos finais da campanha.

“Um ator cibernético malicioso poderia aproveitar as informações obtidas a partir de cookies de persistência não criptografados para inferir ou identificar recursos adicionais na rede e potencialmente explorar vulnerabilidades em outros dispositivos presentes”, informou a CISA em um aviso.

Recomendações da CISA

A CISA recomenda que as organizações implementem a criptografia de cookies persistentes nos dispositivos F5 BIG-IP através da configuração da criptografia de cookies no perfil HTTP. Além disso, é aconselhado que os usuários verifiquem a proteção de seus sistemas utilizando uma ferramenta de diagnóstico chamada BIG-IP iHealth, que permite identificar potenciais problemas.

“O componente de Diagnósticos do BIG-IP iHealth avalia os logs, a saída de comandos e a configuração do seu sistema BIG-IP em relação a um banco de dados de problemas conhecidos, erros comuns e melhores práticas publicadas pela F5”, destaca a F5 em um documento de apoio.

Contexto Global de Cibersegurança

A divulgação desse alerta ocorre em um momento em que agências de cibersegurança dos EUA e do Reino Unido publicaram um boletim conjunto detalhando as tentativas de atores patrocinados pelo estado russo de atacar setores de diplomacia, defesa, tecnologia e finanças com o intuito de coletar inteligência estrangeira e facilitar futuras operações cibernéticas.

A Ameaça APT29

A atividade tem sido atribuída a um ator de ameaça rastreado como APT29, também conhecido como BlueBravo, Cloaked Ursa, Cozy Bear e Midnight Blizzard. O APT29 é considerado um componente chave da máquina de inteligência militar russa, associado ao Serviço de Inteligência Estrangeira (SVR).

“As intrusões cibernéticas do SVR incluem um forte foco em permanecer anônimo e indetectável. Os atores utilizam o TOR de forma extensiva durante as intrusões – desde a etapa inicial de direcionamento até a coleta de dados – e ao longo da infraestrutura de rede”, afirmam as agências.

Táticas e Vulnerabilidades

Os ataques realizados pelo APT29 foram categorizados como aqueles projetados para obter inteligência e estabelecer acessos persistentes, facilitando assim compromissos na cadeia de suprimentos, além de permitir que os atores hospedem infrastruturas maliciosas ou realizem operações subsequentes a partir de contas comprometidas, explorando falhas de segurança conhecidas, credenciais fracas ou outras configurações incorretas.

• CVE-2022-27924: uma falha de injeção de comando no Zimbra Collaboration.
• CVE-2023-42793: uma vulnerabilidade crítica de derrota de autenticação que permite a execução remota de código no TeamCity Server.

O APT29 é um exemplo relevante de como atores de ameaças continuam a inovar suas táticas, técnicas e procedimentos para permanecerem discretos e contornarem as defesas, incluindo medidas como a destruição de suas infraestruturas e a eliminação de qualquer evidência, caso suspeitem que suas intrusões foram detectadas, seja pela vítima ou por autoridades policiais.

Medidas Proativas contra Atividades Maliciosas

Uma técnica notável nesse contexto é o uso extenso de redes de proxy, que incluem provedores de telefonia móvel ou serviços de internet residencial, para interagir com vítimas localizadas na América do Norte e se misturar ao tráfego legítimo.

“Para interromper essa atividade, as organizações devem estabelecer uma linha de base de dispositivos autorizados e aplicar uma análise adicional aos sistemas que acessam seus recursos de rede e que não estejam em conformidade com essa linha de base”, alertaram as agências.

#Cibersegurança, #CISA, #CookiesPersistentes, #F5BIGIP, #APT29, #Criptografia, #SegurançaDigital, #Vulnerabilidades

autor ref: The Hacker News
ref:https://thehackernews.com/2024/10/cisa-warns-of-threat-actors-exploiting.html