Asp.net

Pesquisadores de cibersegurança descobriram quatro pacotes NuGet maliciosos que visam desenvolvedores de aplicações web ASP.NET, com o objetivo de roubar dados sensíveis. A campanha, identificada pela empresa Socket, exfiltra dados de identidade do ASP.NET, como contas de usuários e atribuições de papéis, além de manipular regras de autorização para criar backdoors persistentes nas aplicações das vítimas. Os pacotes, publicados entre 12 e 21 de agosto de 2024, foram baixados mais de 4.500 vezes antes de serem removidos. O pacote NCryptYo atua como um dropper de primeira fase, estabelecendo um proxy local que redireciona o tráfego para um servidor de comando e controle (C2) controlado pelo atacante. Os pacotes DOMOAuth2_ e IRAOAuth2.0 são responsáveis por roubar dados de identidade e backdoor, enquanto o SimpleWriter_ permite a execução de processos ocultos. A análise sugere que todos os pacotes foram criados pelo mesmo ator de ameaça, visando comprometer as aplicações em vez das máquinas dos desenvolvedores. A continuidade da exfiltração de dados ocorre mesmo após a implantação das aplicações maliciosas em produção, permitindo que atacantes obtenham acesso administrativo. Este incidente destaca a vulnerabilidade da cadeia de suprimentos de software e a necessidade de vigilância constante na segurança de pacotes de código aberto.

Hackers estão explorando chaves de máquina ASP.NET expostas para injetar um módulo malicioso sofisticado conhecido como “HijackServer” em servidores do Internet Information Services (IIS). Essa vulnerabilidade, que afeta centenas de servidores web globalmente, permite a execução remota de código e compromete a segurança de organizações de todos os tamanhos. Os atacantes identificam aplicações ASP.NET com chaves fracas ou publicamente divulgadas, o que facilita a manipulação do viewstate e a execução de código arbitrário no servidor. Uma vez dentro, eles utilizam técnicas de escalonamento de privilégios para obter controle administrativo e implantam ferramentas de acesso remoto. O HijackServer, um módulo nativo do IIS, não apenas serve como uma porta dos fundos não autenticada, mas também gera páginas de investimento falsas para enganar usuários. Os administradores são aconselhados a rotacionar suas chaves de máquina ASP.NET e a monitorar seus ambientes IIS em busca de módulos suspeitos, uma vez que a exposição de segredos pode deixar as organizações vulneráveis, mesmo que as falhas sejam corrigidas.

Um grupo de pesquisadores de segurança cibernética demonstrou uma nova técnica que utiliza a poluição de parâmetros HTTP para contornar firewalls de aplicações web (WAFs) e executar scripts maliciosos em aplicações ASP.NET. A técnica se baseia no comportamento de concatenação de strings de consulta do ASP.NET, onde parâmetros duplicados são mesclados em uma única entrada separada por vírgulas. Ao distribuir fragmentos de carga útil em múltiplos parâmetros, os pesquisadores conseguiram ocultar operações maliciosas das regras de detecção convencionais dos WAFs.