CACTUS Ransomware abusa delle vulnerabilità

È stata rilevata una recente campagna ransomware CACTUS che sfrutta le vulnerabilità appena rivelate in Qlik Sense, una piattaforma di analisi cloud e business intelligence. I ricercatori di Arctic Wolf, tra cui Stefan Hostetler, Markus Neis e Kyle Pagelow, hanno identificato questo come il primo caso documentato in cui gli autori delle minacce che utilizzano il ransomware CACTUS hanno sfruttato le vulnerabilità di Qlik Sense per l'accesso iniziale.

Vulnerabilità sfruttate da CACTUS

L'azienda di sicurezza informatica, in risposta a molteplici casi di sfruttamento, ha evidenziato tre vulnerabilità rivelate negli ultimi tre mesi:

CVE-2023-41265 (punteggio CVSS: 9,9) - Una vulnerabilità di tunneling delle richieste HTTP che consente a un utente malintenzionato remoto di elevare i privilegi ed eseguire richieste sul server backend che ospita l'applicazione repository.

CVE-2023-41266 (punteggio CVSS: 6,5) - Una vulnerabilità di attraversamento del percorso che consente a un utente malintenzionato remoto non autenticato di inviare richieste HTTP non autorizzate a endpoint specifici.

CVE-2023-48365 (punteggio CVSS: 9,9) - Una vulnerabilità legata all'esecuzione di codice remoto non autenticato derivante da una convalida impropria delle intestazioni HTTP, che consente agli aggressori di elevare i privilegi attraverso il tunneling delle richieste HTTP.

In particolare, CVE-2023-48365 deriva da una patch incompleta per CVE-2023-41265, entrambe divulgate da Praetorian alla fine di agosto 2023. Una correzione per CVE-2023-48365 è stata rilasciata il 20 settembre 2023.

Le osservazioni di Arctic Wolf indicano che lo sfruttamento efficace di questi difetti porta alla manipolazione del servizio Qlik Sense Scheduler. Viene utilizzato per generare processi che scaricano strumenti aggiuntivi, con l'obiettivo di stabilire la persistenza e abilitare il controllo remoto.

Questi strumenti includono ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk e Plink. È stato osservato anche che gli autori delle minacce disinstallavano il software Sophos, modificavano la password dell'account amministratore e creavano un tunnel RDP tramite Plink.

La sequenza di attacco si conclude con l'implementazione del ransomware CACTUS, con gli aggressori che utilizzano rclone per l'esfiltrazione dei dati.