8220 Gang: Hackers chinos minan criptomonedas en redes federales de EE.UU.

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha añadido una vulnerabilidad crítica en el servidor Oracle WebLogic al catálogo de vulnerabilidades explotadas conocidas (KEV). Esto se ha hecho basándose en la evidencia existente de la explotación activa de la vulnerabilidad por parte de actores maliciosos.

La vulnerabilidad CVE-2017-3506 con una puntuación de gravedad de 7.4 en la escala CVSS es una vulnerabilidad de inyección de comandos operativos en Oracle WebLogic Server. Permite a los atacantes ejecutar código arbitrario en servidores vulnerables mediante el envío de una solicitud HTTP especialmente diseñada con un documento XML malicioso. Como resultado, los atacantes pueden obtener acceso no autorizado y control total sobre los sistemas comprometidos.

Según expertos en ciberseguridad, el grupo de hackers chino 8220 Gang, también conocido como Water Sigbin, ha estado explotando esta vulnerabilidad desde principios de 2022. Los hackers la utilizan para desplegar una botnet para minar criptomonedas infectando sistemas desactualizados y vulnerables.

Los especialistas de Trend Micro señalan que el grupo 8220 Gang emplea métodos avanzados de ofuscación de código y scripts complejos para entregar sigilosamente cargas útiles maliciosas a los sistemas atacados. En particular, se utiliza codificación URL en formato hexadecimal, así como entrega de cargas a través de HTTPS en el puerto 443 para evadir los sistemas de detección de intrusiones.

Los scripts maliciosos de PowerShell y batch incluyen técnicas complejas de codificación y enmascaramiento del código malicioso dentro de supuestos scripts inofensivos utilizando variables de entorno.

Debido a los hechos identificados de explotación activa de la vulnerabilidad CVE-2017-3506 y otras vulnerabilidades críticas en Oracle WebLogic ( CVE-2023-21839 ), se recomienda a las agencias federales de EE.UU. instalar los parches disponibles de Oracle antes del 24 de junio de 2024. Esto es necesario para proteger las redes gubernamentales de posibles ciberataques por parte de grupos de hackers.