Alerta de seguridad

Nivel de peligrosidad: Crítico

Descripción

El equipo de investigación de amenazas de Securonix ha identificado una campaña de ataque en la que los actores de amenazas apuntan a servicios de Microsoft SQL (MSSQL) expuestos usando ataques de fuerza bruta. La campaña, denominada DB#JAMMER, se caracteriza por el uso de una infraestructura y unas cargas maliciosas que incluyen memes, referencias a 4chan y mensajes provocativos. El objetivo final de los atacantes es entregar el ransomware FreeWorld, que cifra los archivos del servidor y exige un rescate en criptomonedas

Recursos afectados

 Los servidores que ejecutan servicios de MSSQL sin una adecuada protección y configuración son vulnerables a esta campaña de ataque. Según Securonix, se han observado más de 1000 intentos de ataque exitosos en los últimos meses, afectando a organizaciones de diversos sectores, como educación, salud, finanzas y gobierno a nivel mundial.

Mitigación

Securonix recomienda a los administradores de sistemas que apliquen las siguientes medidas para prevenir y mitigar esta campaña de ataque:

• Deshabilitar o restringir el acceso remoto a los servicios de MSSQL.
• Usar contraseñas seguras y complejas para las cuentas de MSSQL.
• Aplicar los parches y actualizaciones de seguridad disponibles para MSSQL.
• Implementar una solución de seguridad que pueda detectar y bloquear los ataques de fuerza bruta y las cargas maliciosas.
• Realizar copias de seguridad periódicas de los datos críticos y almacenarlas en un lugar seguro.

Indicadores de compromiso

Securonix recomienda verificar la existencia de los siguientes archivos:

También revisar las siguientes consultas:

• index = activity AND (rg_functionality = “Next Generation Firewall” OR rg_functionality = “Web Application Firewall” OR rg_functionality = “Web Proxy”) AND (destinationaddress = “45.148.122[.]63” or destinationaddress = “gelsd[.]com”)
• index = activity AND rg_functionality = “Endpoint Management Systems” AND (customstring47 ENDS WITH “\CurrentControlSet\Control\Terminal Server\fDenyTSConnections” OR customstring47 ENDS WITH “\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\UserAuthentication”) AND customstring48 = “DWORD (0x00000000)”
• index = activity AND rg_functionality = “Endpoint Management Systems” AND (deviceaction = “Process Create” OR deviceaction = “Process Create (rule: ProcessCreate)” OR deviceaction = “ProcessRollup2” OR deviceaction = “Procstart” OR deviceaction = “Process” OR deviceaction = “Trace Executed Process”) AND destinationprocessname ENDS WITH “reg.exe” AND resourcecustomfield1 CONTAINS ” add ” AND resourcecustomfield1 CONTAINS “\CurrentControlSet\Control\Terminal Server” AND (resourcecustomfield1 CONTAINS “fDenyTSConnections” OR resourcecustomfield1 CONTAINS “UserAuthentication”)
• index = activity AND destinationport = “445” OR destinationport = “139”) AND (sourceaddress = “10.0.0.0/8” OR sourceaddress = “172.16.0.0/12” OR sourceaddress = “192.168.0.0/16” OR sourceaddress = “169.254.0.0/16”) AND (destinationaddress != “10.0.0.0/8” OR destinationaddress != “172.16.0.0/12” OR destinationaddress != “192.168.0.0/16” OR destinationaddress != “169.254.0.0/16” OR destinationaddress != “127.0.0.0/8”
• index = activity AND rg_functionality = “Endpoint Management Systems” AND deviceaction = “Process Create” AND sourceprocessname ENDS WITH “sqlservr.exe” AND destinationprocessname ENDS WITH “cmd.exe”

Recomendaciones

Se recomienda estar alerta ante esta campaña de ataque y otras similares que pueden surgir en el futuro, ya que demuestran la creatividad y la persistencia de los actores de amenazas.  También se sugiere seguir las buenas prácticas para proteger los servidores MSSQL, como usar cifrado, autenticación multifactor, principio de mínimo privilegio y monitorización continua. Además, se aconseja no pagar el rescate en caso de ser víctima del ransomware FreeWorld, ya que no hay garantía de recuperar los datos cifrados y se fomenta la actividad criminal.

Referencias

Infección de SQLServer mediante DB#JAMMER y ransomware FreeWorld