Se observó a un atacante desconocido explotando la falla de seguridad de máxima gravedad recientemente revelada en SimpleHelp para entregar dos familias de malware no reportadas anteriormente: TaskWeaver y Djinn Stealer.
Esta intrusión implica la explotación de CVE-2026-48558 (puntaje CVSS: 10.0), una vulnerabilidad crítica de omisión de autenticación que afecta los flujos de OpenID Connect (OIDC) y que puede ser aprovechada por un atacante no autenticado para obtener una sesión de «técnico» completamente autenticada mediante el envío de un token falsificado que contiene un reclamo de identidad arbitrario.
«TaskWeaver es un cargador Node.js altamente ofuscado que se entrega como jquery.js y se ejecuta a través de node.exe. Implementa un canal de entrega de carga útil cifrado y reutilizable en lugar de un conjunto fijo de comandos posteriores a la explotación», dijo Blackpoint Cyber en su análisis. «La carga útil observada de la segunda etapa, Djinn Stealer, apunta a sistemas Windows, macOS y Linux».
Djinn Stealer está diseñado para recopilar credenciales asociadas con plataformas en la nube, control de fuente, registros de paquetes, herramientas de infraestructura, asistentes de desarrollo de inteligencia artificial, navegadores, SSH y billeteras de criptomonedas.
Los detalles de CVE-2026-48558 salieron a la luz a principios de este mes, con Horizon3.ai, que descubrió la falla, diciendo que afecta a servidores configurados para usar OIDC genérico o Azure AD OIDC y se debe a la forma en que SimpleHelp valida las afirmaciones de IdP.
«Muchas implementaciones de SimpleHelp donde la autenticación de tipo OIDC está habilitada permiten que un atacante no autenticado cree y autentique un nuevo usuario ‘técnico'», dijo Zach Hanley, investigador de seguridad de Horizon3.ai. «De forma predeterminada, este técnico puede realizar actividades administrativas privilegiadas, como comunicación remota y ejecución de scripts en puntos finales administrados».
«Incluso si el servidor SimpleHelp está configurado para forzar MFA para los técnicos, este problema permite a un atacante eludir este mecanismo porque los técnicos pueden registrar su propio método MFA la primera vez que inician sesión».
Se dice que la cadena de ataque documentada por Blackpoint Cyber explotó con éxito una falla en el software de administración y monitoreo remoto (RMM) que permitió a los atacantes obtener una sesión de «técnico» autenticada en un servidor de acceso público, que luego fue explotado para implementar TaskWeaver y Djinn Stealer.
Los investigadores Nevan Beal y Sam Decker dijeron: «La plataforma RMM comprometida proporcionó a los operadores un canal de administración confiable para transferir archivos y ejecutar comandos en sistemas administrados a través del servidor».
TaskWeaver es un cargador modular de Node.js que puede tomar huellas digitales de su sistema, establecer comunicación cifrada con un servidor remoto (‘a.dev-tunnels(.)com’) y recuperar y ejecutar cargas útiles de JavaScript adicionales con acceso elevado al tiempo de ejecución de Node.js. La etapa final es un ladrón de información diseñado para desviar datos valiosos de un host de Windows, macOS o Linux comprometido.
El alcance de la información que puede ser robada es el siguiente:
Credenciales, historial y marcadores almacenados en su navegador web Datos de configuración y autenticación asociados con AWS, Azure, Google Cloud, Oracle Cloud Infrastructure, Okta, Cloudflare, DigitalOcean, Linode, Heraku, Vercel, Railway, Supabase, Pulumi, Terraform, HashiCorp Vault, Consul Datos CLI de GitHub Configuración de Git Claves SSH Autenticación de Docker Información de registro de Helm Configuración del cliente S3 y MinIO Credenciales de Subversion Credenciales para npm, Herramientas de compilación pnpm, Yarn, NuGet, Cargo, Composer, Maven, Gradle, pip, PyPI, Conda, Bun, Ivy y Scala Datos de configuración, autenticación, sesión y proyecto asociados con Anthropic Claude, Google Gemini, OpenAI Codex, Cline, OpenCode y Kilo Bitcoin, Litecoin, Dogecoin, Dash, Ethereum, Monero, Zcash, Exodus, Atomic Wallet, Electrum
En los sistemas Linux, el malware también intenta leer los archivos virtuales «/proc//cmdline» y «/proc//environ», que pueden contener información sobre procesos en ejecución, como contraseñas, claves API, tokens de acceso, cadenas de conexión de bases de datos y otros valores confidenciales pasados a través de argumentos de línea de comando y variables de entorno.
Una vez recopilada la información, se comprime en un archivo TAR, se comprime con GZIP, se cifra utilizando una clave AES-256-GCM protegida con una clave pública RSA-2048 integrada en TaskWeaver y se extrae a la infraestructura controlada por el atacante (‘96.126.130(.)126:58942’).
Esta campaña ilustra cómo los actores de amenazas se dirigen cada vez más a plataformas impulsadas por inteligencia artificial (IA), a medida que las tecnologías de IA se integran en los flujos de trabajo empresariales y se puede abusar de los privilegios de los asistentes de IA para acceder a datos confidenciales.
«Una única omisión de autenticación se convirtió en un conducto para todo lo que un sistema administrado podía alcanzar, desde plataformas en la nube y repositorios de códigos hasta herramientas de inteligencia artificial, billeteras criptográficas e infraestructura de clientes», dijeron los investigadores.
«Las credenciales a las que se puede acceder desde una estación de trabajo de desarrollador o administrador pueden proporcionar acceso a la infraestructura de producción, crear canalizaciones, repositorios de código fuente, plataformas de implementación, inquilinos de la nube y entornos de clientes mucho después de que se haya contenido el punto final original».
Debido a la explotación activa de CVE-2026-48558, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) lo agregó a su Catálogo de vulnerabilidades explotadas conocidas (KEV) y requirió que las agencias del Poder Ejecutivo Civil Federal (FCEB) aplicaran una solución antes del 2 de julio de 2026.
Source link
