A este tipo de ataque se le denomina “Redirigir a SMB” (“Redirect To SMB”). Hay varias aplicaciones muy conocidas que son vulnerables a este método de ataque. Los informes indican que si bien no se observaron ataques en general al momento de redactar este blog, las implicaciones de la vulnerabilidad son lo suficientemente graves como para justificar que se le asigne prioridad a este problema y se describan las formas en que podría verse afectada cada organización.
Los nuevos métodos de ataque solo se empezaron a descubrir recientemente. La base de datos “Vulnerability Notes Database” informó públicamente el problema basándose en análisis realizados por Cylance: http://www.kb.cert.org/vuls/id/672268. Al problema se le asignó la designación VU#672268.
¿CÓMO OPERA EL ATAQUE?
Un ataque del tipo “Redirigir a SMB” es todo método utilizado para enviar y autenticar a los usuarios en un servidor SMB malicioso. Permite interceptar el nombre de usuario, el dominio y el hash que suele utilizarse de la contraseña.
Situaciones posibles:
– Un sitio web podría redirigir a un usuario a un servidor SMB controlado por el atacante. Este sitio web podría diseminarse utilizando el vector de correo electrónico por medio de malvertising (publicidad maliciosa) o simplemente atrayendo maliciosamente al usuario final a un sitio web que lo redirigirá.
– Un ataque MITM (man in the middle) podría interceptar el tráfico de usuarios y redirigirlo al servidor SMB adecuado.
– Los mecanismos de actualización de numerosos productos son vulnerables (Adobe Reader, Apple QuickTime y otros) debido a que utilizan solicitudes de HTTP para acceder a las actualizaciones de software. Un ataque MITM podría interceptar y cambiar el destino de la solicitud enviándola a un servidor SMB controlado por el atacante.
MITIGACIÓN
Actualmente se sugieren los consejos de mitigación que se indican a continuación, aunque quizás no todos sean adecuados para todas las empresas.
– El tráfico SMB opera a través de TCP 139 y TCP 445. Esta comunicación podría bloquearse utilizando un dispositivo como un firewall, en particular el firewall de la puerta de enlace de la red (network gateway firewall), para impedir únicamente las comunicaciones de SMB a los destinos que están fuera de la red de la empresa.
– Aplicar todos los parches de software de los proveedores que correspondan a medida que están disponibles.
– Alentar a los usuarios finales a utilizar contraseñas seguras para aumentar el tiempo necesario que un simple ataque de fuerza bruta descifre los algoritmos hash.
Compartir nota:
