Una vulnerabilidad de alta gravedad (CVE-2023-46604) en Apache ActiveMQ está siendo activamente explotada para desplegar el malware DripDropper en sistemas Linux basados en la nube. Lo inusual de esta campaña es que, tras obtener acceso inicial, los atacantes parchean la vulnerabilidad que explotaron, presumiblemente para evitar que otros actores maliciosos la utilicen y para dificultar su detección. El malware DripDropper, una vez instalado, establece comunicación con un servidor de comando y control a través de servicios legítimos como Dropbox, buscando instrucciones adicionales y permitiendo el acceso persistente al sistema comprometido. Entre las acciones realizadas por los atacantes se incluye la modificación de la configuración de SSH para habilitar el inicio de sesión como root, la modificación de archivos de configuración de SSH como mecanismo de respaldo para el acceso persistente, y la programación de tareas a través de ‘anacron’.

Esta actividad subraya la importancia de aplicar parches de seguridad de manera oportuna, limitar el acceso a servicios internos configurando reglas de acceso a IPs confiables o VPNs, y monitorizar los logs en entornos de nube para detectar actividades anómalas. La rápida aplicación de parches es crucial para mitigar riesgos y proteger la infraestructura de la organización.

Fuente original: Ver aquí