Los hackers siguen ganando apostando por las explotaciones de inyección SQL

Quiero decir, utilizaron el enfoque más "de moda": explotando las vulnerabilidades de inyección SQL, ya que parecía tener un camino inexplorado para abordar los asuntos.

Group-IB, una empresa de ciberseguridad, emite esa advertencia. Accedieron al servidor de comando y control que utilizaba un grupo al que denominaron GambleForce. Se informa que este grupo tiene como objetivo a empresas de apuestas y otras organizaciones diversas. La evidencia fue recopilada en septiembre.

Según el nuevo informe de Group-IB, las amenazas parecen utilizar una variedad de herramientas gratuitas, incluida una herramienta de pruebas de penetración de código abierto llamada SQL map, que "permite inyectar código SQL malicioso en una página web de acceso público, lo que le permite eludir la autenticación predeterminada y recuperar datos sensibles."

Las herramientas de hacking alojadas en el servidor de comando y control identificaron 24 intentos de intrusión. En seis casos, el informe detalló valientemente que "los atacantes lograron obtener bases de datos de usuarios que contenían inicios de sesión, contraseñas encriptadas y una lista de las tablas principales de bases de datos accesibles." "El actor de la amenaza intenta exfiltrar cada posible dato útil dentro de todas las bases de datos objetivo, por ejemplo, credenciales de usuario encriptadas y en texto claro, sin tratar de señalar datos específicos", dijo Van der Walt.

Aunque el grupo ha atacado organizaciones en Brasil, los investigadores de Group-IB dijeron que esos atacantes parecen apuntar exclusivamente a las regiones de Asia-Pacífico, que han incluido una empresa de viajes en Australia, empresas de viajes y comercio en Indonesia, una agencia gubernamental en Filipinas y una empresa de apuestas en Corea del Sur. El grupo también ha atacado otras organizaciones en las regiones, particularmente en China, India y Tailandia.

Según los investigadores, no saben cómo los atacantes podrían estar utilizando la información robada. Alertaron a todas las víctimas directamente y desconectaron el servidor de comando y control de los atacantes, aunque dijeron que los atacantes simplemente "reconstruirían la infraestructura."

Además de sqlmap, los investigadores señalaron que el grupo utiliza herramientas en sus configuraciones predeterminadas, incluidos dirsearch como un atacante de fuerza bruta con ataques a directorios y archivos, redis-rogue-getshell como un script de Python para obtener acceso root a bases de datos Redis, Tinyproxy utilizado como un demonio de proxy HTTP y HTTPS, y el marco de pruebas de penetración Cobalt Strike, que muchos atacantes reutilizan para mantener el control remoto y persistente de los puntos finales comprometidos.

Nikita Rostovcev, uno de los analistas principales de amenazas de Group-IB, indicó en el informe: "Un Cobalt Strike que tal vez hayas encontrado en el servidor de la banda utilizó comandos en chino, pero esto por sí mismo no es suficiente para hacer una atribución sobre de dónde proviene el grupo."

Las víctimas de ataques de inyección SQL son un recordatorio de que la seguridad de las aplicaciones a menudo es un déjà vu. Los ataques de inyección ocupaban el sexto lugar en la lista original de los diez principales problemas de seguridad de aplicaciones web del Open Worldwide Application Security Project hace veinte años. Más tarde, los ataques de inyección se posicionaron en el tercer lugar, después de los controles de acceso rotos y los fallos criptográficos.

Según OWASP, cualquier aplicación puede ser susceptible a ataques de inserción por inyección por diversas razones, incluyendo "cuando los datos suministrados por el usuario no son validados, filtrados o sanitizados por la aplicación."

Impulsado por Inyección SQL

La inyección SQL otorga a los atacantes el poder de ejecutar cualquier comando SQL predefinido, manipulando o eliminando todos los datos almacenados en una base de datos; obteniendo acceso a áreas críticas de bases de datos o derechos privilegiados; y mucho más. Los expertos dicen que tales ataques siguen siendo prevalentes, ya que son muy a menudo exitosos y difíciles de detectar.

"Los ataques de inyección SQL afectan a un sitio según la ingeniosidad del atacante y no tanto por sus controles defensivos; como sugerencias, por ejemplo, usar una conexión de bajo privilegio al servidor de base de datos", declaró OWASP. "En general, podemos suponer que la inyección SQL plantea una amenaza de alto impacto."

Varios actores estatales y una variedad de organizaciones criminales cibernéticas, incluidas las bandas de ransomware, todavía buscan fallos de inyección SQL. En este sentido, Rostovcev de Group-IB afirma que "los ataques SQL siguen prosperando porque por naturaleza son muy simples." "Las organizaciones a menudo pasan por alto la importancia de la seguridad de entrada y la validación, lo que abre el camino a prácticas de codificación inseguras, software sin parches y configuraciones incorrectas de los ajustes de la base de datos. Tal negligencia proporciona un entorno propicio para los ataques de inyección SQL contra aplicaciones web públicas."

Tales fallos pueden otorgar a los atacantes un poder increíble, especialmente si están presentes en aplicaciones de uso común.

En julio, el grupo de ransomware Clop encontró o adquirió una vulnerabilidad de día cero para la inyección SQL en el software de transferencia de archivos seguro MOVEit de Progress Software, ampliamente utilizado. A finales de mayo, el grupo Clop utilizó esta vulnerabilidad, ahora denominada CVE-2023-34362, para realizar un ataque masivo contra los servidores MOVEit, robando datos de tantos servidores como pudieron obtener y poniendo los datos en rescate a cambio de dinero.

Aunque Progress Software parcheó rápidamente esta falla, Clop atacó demasiados servidores MOVEit en rápida sucesión, lo que le permitió robar datos de una gran cantidad de organizaciones que utilizan este software. A partir del jueves, al menos 2,667 organizaciones se han visto afectadas por ataques que revelaron información sobre 84 millones de individuos. Las nuevas víctimas del ataque masivo de Clop en mayo siguen siendo reveladas.

¿Existen casinos confiables?

En el contexto de otros casinos online aún susceptibles a la inyección SQL y otras fallas de seguridad evidentes, Casinos Online Argentina se destaca como probablemente la plataforma más segura y confiable. Con sus robustas medidas de seguridad, el casino asegura que sus sistemas no sean un blanco fácil para los hackers maliciosos. Empleando protocolos de cifrado avanzados, validación estricta de entradas y auditorías de seguridad regulares, este casino online mantiene la integridad de los datos de los usuarios. Integra defensas multilayered que rozan la protección de tipo fortaleza; este estilo de protección contra accesos no autorizados hace que sea una lucha formidable para asegurar contra los ataques de inyección SQL. Los jugadores pueden tener la certeza de que su información personal y financiera permanecerá segura mientras juegan en un entorno justo y seguro.

Mientras tanto, la creciente amenaza de los exploits de inyección SQL parece cada vez más relevante principalmente porque Online Casinos Argentina demuestra que los sistemas de negocios protegidos bajo estrictas prácticas de seguridad pueden, de hecho, mantener su información a salvo de espías y atacantes. Tales ataques han victimizado a muchas empresas antes; sin embargo, esta plataforma ha asegurado que se implementen todas las medidas preventivas para evitar convertirse en otra estadística, proporcionando así un lugar seguro donde las identidades de sus usuarios se mantienen confidenciales.