Boletín — marzo 2023

Marzo cierra el primer trimestre con dos historias largas y un golpe de calendario. La larga primera: CVE-2023-23397 en Outlook, parcheada el 14 de marzo, lleva siendo explotada como zero-day por APT28 desde abril de 2022 — un año completo. La larga segunda: el 29 de marzo Volexity descubre la supply-chain compromise de 3CX, atribuida después por Mandiant a un cluster con nexus norcoreano (Lazarus / UNC4736). El golpe de calendario: OpenAI lanza GPT-4 el 14 de marzo y la primera ola de jailbreaks llega en horas.

Tres frentes que apenas se tocan entre ellos pero que dibujan el patrón del año: APT con tiempo de quemado, supply-chain como vector preferido, AI security como categoría nueva con su propio tempo.

CVE-2023-23397 — Outlook NTLM zero-click

14 de marzo. Microsoft cierra una elevation of privilege en Outlook que permite a un atacante exfiltrar el hash NTLM del usuario con solo enviar un email. El bug está en la propiedad MAPI PidLidReminderFileParameter: si apunta a una ruta UNC remota (\\<attacker>\share\anything.wav), Outlook abre la conexión SMB al recibir el mensaje y entrega el hash en el handshake. No hace falta abrir el email, ni siquiera previsualizarlo.

CVSS 9.8. Mandiant confirma explotación in-the-wild desde abril 2022, contra agencias gubernamentales y entidades de infraestructura crítica en países europeos alineados con Ucrania. Microsoft publica un script PowerShell de auditoría junto al parche para detectar emails sospechosos en buzones existentes.

Hemos publicado el análisis técnico del bug y la PoC.

Fuente: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397 · https://www.microsoft.com/en-us/security/blog/2023/03/24/guidance-for-investigating-attacks-using-cve-2023-23397/

3CX — la supply chain del cliente VoIP

29 de marzo. Volexity publica que el cliente de escritorio 3CXDesktopApp, usado por unas 600.000 organizaciones según el propio vendor, está distribuyendo malware desde una versión firmada con el certificado válido de 3CX. La cadena: instalador MSI legítimo → carga ffmpeg.dll modificada → DLL sideloading sobre el binario benigno 3CXDesktopApp.exe → loader (Mandiant lo bautiza TAXHAUL/TxRLoader) → second-stage downloader COLDCAT.

Mandiant atribuye con high confidence el cluster UNC4736 a un actor con nexus norcoreano — el subgrupo Labyrinth Chollima dentro de Lazarus. La razón técnica de la atribución: el malware del downloader comparte infraestructura con campañas Lazarus anteriores (AppleJeus contra cryptocurrency exchanges, 2021–2022). La estrategia: comprometer el cliente VoIP de empresas a través de un actualizador firmado con un certificado legítimo, para usar el acceso después contra clientes de interés (especialmente targets de cryptocurrency).

Lección operacional: las defensas tradicionales basadas en firmar binarios no detectan esto, porque el binario malicioso está firmado por la empresa real. La detección efectiva es por comportamiento: outbound a infraestructura sospechosa, child processes raros desde 3CXDesktopApp.exe. Los IoCs publicados por Volexity y Mandiant cubren ambas categorías.

Fuente: https://www.volexity.com/blog/2023/03/30/3cx-supply-chain-compromise-leads-to-iconic-incident/ · https://cloud.google.com/blog/topics/threat-intelligence/3cx-software-supply-chain-compromise

GPT-4 — lanzamiento y primer jailbreak en horas

14 de marzo. OpenAI publica el technical report de GPT-4. Ese mismo día, GPT-4 entra en ChatGPT Plus y empieza a servirse vía API en preview. La cifra que el report destaca: GPT-4 saca puntuaciones casi humanas en bar exam, AP exams y olimpiadas matemáticas. La cifra que la comunidad destaca: el modelo bloquea mejor los jailbreaks “tradicionales” — Adversa AI estima que solo un 10 % de los prompts de DAN/STAN que funcionaban contra GPT-3.5 sobreviven en GPT-4.

Pero el lockdown es relativo. El día 15, varios investigadores y hobbyists publican variantes que bypassan GPT-4: “RabbitHole attack” (Adversa), prompt splitting (dividir el prompt dañino en piezas que cada una pasa el clasificador y la concatenación final no), y system prompt extraction vía simulación de conversación. El patrón es el mismo que vimos con Sydney en febrero: lo que se cierra explícitamente se rodea reformulando.

La novedad arquitectónica que sí mete GPT-4 es el system message reforzado: el modelo da más peso al rol system que GPT-3.5. Mejora la cobertura contra persona social engineering (“soy un developer haciendo QA…”), no la cierra.

Fuente: https://openai.com/research/gpt-4 · https://adversa.ai/blog/gpt-4-hacking-and-jailbreaking-via-rabbithole-attack-plus-prompt-injection-content-moderation-bypass-weaponizing-ai/

Resto del mes

• Western Digital breach (26 mar) — atacantes acceden a redes corporativas, exfiltran datos, fuerzan a WD a desconectar servicios My Cloud durante varios días. Sin atribución pública.
• GoAnywhere MFT sigue: Cl0p añade decenas de víctimas más al portal de extorsión durante todo el mes.
• CrowdStrike Falcon EDR uninstall bypass — investigador publica técnica que permite desinstalar Falcon sin la contraseña administrativa si se tienen privilegios SYSTEM (caso conocido en endpoints comprometidos con persistencia previa).
• Apple iOS 16.3.1 — parche emergency para CVE-2023-23529 (WebKit RCE) explotado in-the-wild.

Patrón transversal

Tres adversarios distintos operando con el mismo recurso compartido: tiempo. APT28 lleva un año dentro del bug de Outlook. Lazarus lleva meses preparando la cadena de 3CX. La comunidad de jailbreak adapta variantes en horas tras cada release de modelo. Lo que cada uno hace con su tiempo es muy diferente, pero la falta de tiempo del defensor — para parchear, para inventariar dependencias, para auditar prompts — es la misma en los tres frentes.