“Black Hat Hackers” (Actores de amenazas) están explotando una vulnerabilidad crítica en el complemento LiteSpeed Cache para WordPress, permitiendo tomar control de sitios web. Investigadores de WPScan informaron que esta vulnerabilidad de alta gravedad está siendo aprovechada activamente.
BingX exchange confiable de Criptomonedas
LiteSpeed Cache para WordPress (LSCWP) es un complemento integral de aceleración de sitios que incluye una caché a nivel de servidor y un conjunto de características de optimización. Este complemento cuenta con más de 5 millones de instalaciones activas. La vulnerabilidad, identificada como CVE-2023-40000 con un puntaje CVSS de 8.3, se refiere a la Neutralización Inadecuada de la Entrada Durante la Generación de Páginas Web (‘Cross-site Scripting’ o XSS), permitiendo un XSS almacenado.
Los atacantes han explotado esta vulnerabilidad para crear cuentas de administrador falsas en sitios vulnerables, bajo los nombres de usuario wpsupp‑user y wp‑configuser. Al crear cuentas de administrador, los actores de amenazas pueden obtener control total sobre el sitio web. Patchstack descubrió la vulnerabilidad de XSS almacenado en febrero de 2024.
Las URLs maliciosas a menudo incluyen https[:]//dns[.]startservicefounds.com/service/f[.]php, https[:]//api[.]startservicefounds[.]com, https[:]//cache[.]cloudswiftcdn[.]com.
Ten cuidado con las IPs asociadas con el malware, como la 45.150.67.235.
El malware JavaScript remoto decodificado frecuentemente crea usuarios administradores como wpsupp‑user:
Un usuario no autenticado puede explotar esta vulnerabilidad para elevar privilegios mediante solicitudes HTTP especialmente diseñadas. WPScan reportó que los actores de amenazas podrían inyectar un script malicioso en versiones vulnerables del complemento LiteSpeed. Los investigadores observaron un aumento en el acceso a una URL maliciosa el 2 y el 27 de abril.
Las direcciones IP más comunes que probablemente estaban escaneando sitios vulnerables fueron 94.102.51.144, con 1,232,810 solicitudes, y 31.43.191.220, con 70,472 solicitudes.
La vulnerabilidad se corrigió en octubre de 2023 con la liberación de la versión 5.7.0.1.
Los investigadores proporcionaron indicadores de compromiso para estos ataques, incluyendo URLs maliciosas involucradas en la campaña: https[:]//dns[.]startservicefounds.com/service/f[.]php, https[:]//api[.]startservicefounds[.]com, y https[:]//cache[.]cloudswiftcdn[.]com. También recomiendan estar alerta a IPs asociadas con el malware, como 45.150.67.235.
Microsoft advierte sobre un nuevo grave fallo de día cero explotada activamente que afecta a Internet Explorer y que se utiliza para secuestrar sistemas Windows vulnerables al aprovechar documentos de Office dañinos. La vulnerabilidad funciona en Office 2019 y Office 365 en Windows 10. De momento no hay parche disponible, pero si algunas mitigaciones como abrir documento vista protegida o deshabilitar componente ActiveX.
Nuevo ataque 0-day dirigido a usuarios de Windows con documentos de Microsoft Office
Rastreado como CVE-2021-40444 (puntuación de gravedad CVSS: 8.8), la falla de ejecución remota de código tiene sus raíces en MSHTML (también conocido como Trident), un motor de navegador patentado para Internet Explorer ahora descontinuado y que se usa en Office para representar contenido web en su interior. Documentos de Word, Excel y PowerPoint.
“Microsoft está investigando informes de una vulnerabilidad de ejecución remota de código en MSHTML que afecta a Microsoft Windows. Microsoft está al tanto de ataques dirigidos que intentan explotar esta vulnerabilidad mediante el uso de documentos de Microsoft Office especialmente diseñados”,ha dicho Microsoft
“Un atacante podría crear un control ActiveX malicioso para ser utilizado por un documento de Microsoft Office que aloja el motor de procesamiento del navegador. El atacante tendría que convencer al usuario de que abra el documento malicioso. Los usuarios cuyas cuentas estén configuradas para tener menos derechos de usuario en el sistema podría verse menos afectado que los usuarios que operan con derechos de usuario administrativo “, agregó.
El fabricante de Windows dio crédito a los investigadores de EXPMON y Mandiant por informar sobre la falla, aunque la compañía no reveló detalles adicionales sobre la naturaleza de los ataques, la identidad de los adversarios que explotan este día cero o sus objetivos a la luz de los ataques del mundo real. .
EXPMON, en un tweet, señaló que encontró la vulnerabilidad después de detectar un “ataque de día cero altamente sofisticado” dirigido a los usuarios de Microsoft Office, y agregó que transmitió sus hallazgos a Microsoft el domingo. “El exploit utiliza fallas lógicas, por lo que la explotación es perfectamente confiable (y peligrosa)”, dijeron los investigadores de EXPMON.
Sin embargo, vale la pena señalar que el ataque actual se puede evitar si Microsoft Office se ejecuta con configuraciones predeterminadas, donde los documentos descargados de la web se abren en Vista protegida o Application Guard for Office, que está diseñado para evitar que archivos no confiables accedan a recursos confiables. en el sistema comprometido.
Se espera que Microsoft, una vez finalizada la investigación, publique una actualización de seguridad como parte de su ciclo de lanzamiento mensual del martes de parches o emita un parche fuera de banda “según las necesidades del cliente”. Mientras tanto, el fabricante de Windows insta a los usuarios y organizaciones a deshabilitar todos los controles ActiveX en Internet Explorer para mitigar cualquier posible ataque.
Deshabilitar ActiveX
Deshabilitar la instalación de todos los controles ActiveX en Internet Explorer mitiga este ataque. Esto se puede lograr para todos los sitios actualizando el registro. Los controles ActiveX instalados anteriormente seguirán ejecutándose, pero no exponen esta vulnerabilidad.
Para deshabilitar los controles ActiveX en un sistema individual:
Para deshabilitar la instalación de controles ActiveX en Internet Explorer en todas las zonas, pegue lo siguiente en un archivo de texto y guárdelo con la extensión de archivo .reg:
Microsoft está investigando informes de una vulnerabilidad de ejecución remota de código en MSHTML que afecta a Microsoft Windows. Microsoft tiene conocimiento de los ataques dirigidos que intentan aprovechar esta vulnerabilidad mediante el uso de documentos de Microsoft Office especialmente diseñados.
Un atacante podría crear un control ActiveX malicioso para ser utilizado por un documento de Microsoft Office que aloja el motor de renderizado del navegador. El atacante tendría que convencer al usuario de que abra el documento malicioso. Los usuarios cuyas cuentas están configuradas para tener menos derechos de usuario en el sistema podrían verse menos afectados que los usuarios que operan con derechos de usuario administrativos.
Microsoft Defender Antivirus y Microsoft Defender for Endpoint proporcionan detección y protección para la vulnerabilidad conocida. Los clientes deben mantener actualizados los productos antimalware. Los clientes que utilizan actualizaciones automáticas no necesitan realizar ninguna acción adicional. Los clientes empresariales que administran actualizaciones deben seleccionar la compilación de detección 1.349.22.0 o más reciente e implementarla en sus entornos. Las alertas de Microsoft Defender para Endpoint se mostrarán como: “Ejecución sospechosa de archivo Cpl”.
Una vez finalizada esta investigación, Microsoft tomará las medidas adecuadas para ayudar a proteger a nuestros clientes. Esto puede incluir proporcionar una actualización de seguridad a través de nuestro proceso de publicación mensual o proporcionar una actualización de seguridad fuera de ciclo, según las necesidades del cliente.
Donate To AddressDonate Via Wallets
Bitcoin
Litecoin
Ethereum
Bitcoin cash
Donar Bitcoin(BTC) a esta dirección
Escanee el código QR o copie la dirección a continuación en su billetera para enviar algunos Bitcoin(BTC)
Tag/Note:- 1KrSKHjLxJfY9LvjwsWYLxeJFmvp5HQPo1
Donar Litecoin(LTC) a esta dirección
Escanee el código QR o copie la dirección a continuación en su billetera para enviar algunos Litecoin(LTC)
![Las URLs maliciosas a menudo incluyen https[:]//dns[.]startservicefounds.com/service/f[.]php, https[:]//api[.]startservicefounds[.]com, https[:]//cache[.]cloudswiftcdn[.]com.
Ten cuidado con las IPs asociadas con el malware, como la 45.150.67.235.
El malware JavaScript remoto decodificado frecuentemente crea usuarios administradores como wpsupp‑user:](https://adalparedes.com/wp-content/uploads/2024/05/litespeed-cache-vuln-expl-1-screenshot-1.png)
Litecoin
Ethereum
Bitcoin cash
