Un
investigador de seguridad ruso publicó un código de prueba de concepto para la
vulnerabilidad Drupalgeddon 2 (CVE-2018-7600) que afecta a todas las versiones
de Drupal CMS lanzadas en la última década.
Los
hackers no han perdido su tiempo al decidir qué hacer con el código de prueba
de concepto (PoC) que fue publicado en línea la semana pasada por una gran
falla de seguridad de Drupal.
Según
múltiples fuentes, los atacantes han estado infectando constantemente a los
servidores con scripts de backdoor y malware de minería de datos criptográficos
(coinminers) desde el pasado jueves 12 de abril.
Los
escaneos para sitios vulnerables comenzaron pocas horas después de la
publicación de PoC. En ese momento, Bleeping Computer, el CTO de Sucuri y su
fundador, Daniel Cid, dijeron que la mayoría de los ataques que estaban
detectando eran pruebas para ver si el PoC estaba funcionando.
La evolución de los ataques
Las
cosas cambiaron durante el fin de semana. Ahora, varias fuentes en la industria
de la seguridad de la información informan que los atacantes están lanzando
cargas maliciosas en sitios vulnerables.
Por
ejemplo, Volexity informó el
lunes que vio hackers usando el código público PoC para dejar caer coinminer, GreyNoise
informó haber visto una puerta trasera PHP, mientras que hoy, el SANS
ISC informó que vio atacantes lanzar coinminers, PHP
backdoors e incluso bots Perl.
La
idea general es que los atacantes probaron el PoC durante los primeros días, y
ahora están perfeccionando las cargas útiles antes de poner en marcha las
operaciones más grandes. En general, el número de intentos de explotación es
todavía pequeño, en comparación con otras campañas de malware en curso, pero
las cifras están aumentando.
Según
las estadísticas recopiladas por Imperva, el 90 por ciento de los intentos de
explotar la vulnerabilidad Drupalgeddon 2 son exploraciones fallidas, mientras
que solo el tres por ciento son intentos de dejar puertas traseras, y solo el
dos por ciento son intentos de eliminar un coinminer.
Recomendaciones
Por
el momento, los autores de Drupal CMS han dicho que "los sitios que no
están parcheados para el miércoles 2018-04-11 pueden verse comprometidos",
se recomienda a los usuarios actualizar los sitios
de Drupal a las versiones 7.58 y 8.5.1, que
contienen correcciones para Drupalgeddon 2.
Grupos criminales expertos se están involucrando
Las
cosas seguramente empeorarán, ya que los expertos de Qihoo 360 Netlab
detectaron hoy tres botnets de Tsunami que también comenzaron a explotar
activamente la vulnerabilidad Drupalgeddon 2.
Las
redes de bots de Arger involucradas en las exploraciones de Drupalgeddon 2, nos
demuestra que los grupos de amenazas avanzados ahora han puesto la mira en esta
vulnerabilidad y estos atacantes son más propensos a saber lo que están
haciendo en lugar de simplemente probar un PoC.
Fuente: The Hacker News
