Los ciberdelincuentes continúan tratando de aprovecharse de la cadena de vulnerabilidades de Microsoft Exchange, descubierta en marzo de 2021 y denominada "ProxyLogon", para perpetrar sus ataques.
En esta ocasión se ha identificado a un grupo de ciberespionaje que tiene como objetivos principales hoteles de todo el mundo, pero también a gobiernos, organizaciones internacionales, empresas enfocadas en la ingeniería y bufetes de abogados.
El hallazgo ha sido realizado por la compañía de seguridad ESET, quien ha denominado al grupo como "Famous Sparrow". La firma sospecha que el colectivo lleva actuando desde al menos 2019.
Según señala, sus víctimas se ubican en Europa (Francia, Lituania, Reino Unido), Oriente Medio (Israel, Arabia Saudí), América (Brasil, Canadá, Guatemala), Asia (Taiwán) y África (Burkina Faso).
En el Viejo Continente, al igual que en Asia, sus ataques se han dirigido, sobre todo contra hoteles y empresas de ingeniería. Por su parte, sus amenazas contra organismos gubernamentales se han dado en Norteamérica y Sudamérica, Oriente Medio y África.
Un grupo APT más
Revisando los datos de telemetría en plena investigación, los investigadores encontraron que FamousSparrow se basaba en las citadas vulnerabilidades de Microsoft Exchange. Esta cadena de vulnerabilidades de ejecución remota de código fue usada por más de 10 grupos APT (Advanced Persistent Threat) con el fin de tomar el control de servidores de email de Exchange en todo el mundo.
La empresa de ciberseguridad afirma que FamousSparrow empezó a explotar las vulnerabilidades el 3 de marzo de 2021, justo el día después de la publicación de los parches. Esto supone que se trata de otro grupo APT que tuvo acceso a los detalles de ProxyLogon hace seis meses.
"Este es otro recordatorio de que es fundamental parchear rápidamente las aplicaciones orientadas a Internet o, si no es posible hacerlo, no exponerlas a Internet en absoluto", sugiere Matthieu Faou, investigador de ESET y descubridor de FamousSparrow, junto con su compañero Tahseen Bin Taj.