Hackeo a vBulletin revela ataque del tipo ZERO-DAY con acceso ilegal a la información de sus usuarios del foro

El creador de software de foros vBulletin fue comprometido, acto que llevó al robo de datos de contraseñas de clientes que han expresado su preocupación de que exista una vulnerabilidad crítica amenazando a los sitios web que ejecutan el programa.

vBulletin, un paquete de software de foros de Internet que se ejecuta en sitios web populares como Macrumors y Ubuntu, anunció en su blog el viernes que su equipo de seguridad descubrió ataques sofisticados en su red que implican el acceso ilegal a la información de usuarios del foro.

“Nuestra investigación indica actualmente que los atacantes acceden a ID de clientes y contraseñas cifradas en nuestros sistemas. Hemos tomado la precaución de restablecer la contraseñas de la cuentas”, escribió el líder de Soporte Técnico de vBulletin, Wayne Lucas.

El reconocimiento llegó justo unos días después de que Macrumours admitió que un fallo de seguridad ha dado lugar a la exposición de contraseñas almacenadas con algoritmo hash para más de 860 mil usuarios. En ese momento, el director editorial de Macrumors, Arnold Kimm escribió en un breve anuncio donde mencionaba que el ataque se parecía al de los foros de usuarios de Ubuntu en julio.

Las sospechas se hicieron realidad cuando los miembros del equipo de hackers Inj3ct0r publicaron un mensaje de Facebook afirmando que eran responsables de los ataques a vBulletin y Macrumours.

Los miembros de Inj3ct0r dijeron haber irrumpido en el sitio web vBulletin explotando una vulnerabilidad previamente indocumentada en dicho software. Se utiliza este acceso privilegiado para obtener las credenciales de inicio de sesión para la cuenta de moderador de Macrumors y, tras iniciar sesión en la cuenta, se robaron los hashes de contraseñas para 860,106 cuentas de Maceumors.

En el mensaje publicado se puede leer:

“Inj3ct0r Team hackeó vBulletin.com y Macrumors.com. Inj3ct0r Team hackeó al gran CMS vBulletin.com. Conseguimos acceso al shell, a la base de datos y al servidor raíz”. “Queríamos demostrar que nada en este mundo es seguro. Hemos encontrado una vulnerabilidad crítica en todas las versiones de vBulletin 4.xx y 5.?.x. Tenemos acceso al shell en el servidor vBulletin, descargamos la base de datos y tenemos privilegios de root”.

vBulletin aún no ha respondido a las solicitudes de respuestas sobre el ataque día cero hecho a su red. Sin embargo, cuando se dio a conocer la posibilidad de una vulnerabilidad crítica en el software, los foros para la conferencia de hackers Defcon fueron cerrados temporalmente en la noche del domingo. En la página de inicio del foro se puede observar: “Hemos deshabilitado los foros hasta que haya una resolución sobre una posible vulnerabilidad. Una vez que tengamos una solución o
un parche instalado, se restablecerá el servicio”.
El anuncio de Inj3ct0r en Facebook da la opción a los propietarios del foro para comprar un parche que corrige la vulnerabilidad que ellos mismos explotaron, con un enlace que los dirige al sitio web del grupo para pagar “7,000 gold”, se puede imaginar que se trata de una moneda clandestina.

 Fuente