En el informe de esta semana, CTI analiza un informe de inteligencia táctica relativo al descubrimiento de un subgrupo del APT41, hasta ahora desconocido, denominado «Earth Longzhi». A continuación se ofrece una visión general de la propuesta del Gobierno australiano de implantar, en su caso, una prohibición del ransomware y de los pagos por extorsión, teniendo en cuenta lo que ello podría suponer para los ciberdelincuentes, los profesionales de la seguridad, las fuerzas del orden, las aseguradoras cibernéticas y otros actores. Asimismo, se incluye un resumen de algunas novedades recientes en Twitter y de cómo los profesionales de la seguridad consideran que los cambios en la dirección de la empresa podrían estar afectando al nivel de seguridad de la plataforma de redes sociales.
1. Earth Longzhi: un nuevo subgrupo APT41 que utiliza un cargador personalizado de Symatic Cobalt Strike
Trend Micro (se abre en una nueva pestaña) ha revelado recientemente la existencia de un subgrupo hasta ahora no documentado del grupo de hackers chino respaldado por el Estado « », APT41 (se abre en una nueva pestaña), denominado «Earth Longzhi». Este subgrupo lleva en activo desde el año 2020 y utiliza versiones personalizadas de los cargadores de Cobalt Strike para instalar puertas traseras persistentes en los sistemas objetivo.
Trend Micro investigó un incidente a principios de 2022 en el que una empresa de Taiwán sufrió un ataque. El malware utilizado en el incidente consistía en un cargador personalizado de Cobalt Strike que llevó a los investigadores a descubrir otros incidentes, que se remontan al 2020, en los que se había utilizado un cargador similar. Trend Micro ha bautizado a este grupo como «Earth Longzhi» y ha observado dos grandes campañas llevadas a cabo por dicha organización.
La primera campaña de malware «Earth Longzhi»
La primera campaña «Earth Longzhi» se llevó a cabo entre el May 2020 y el February 2021 y tuvo como objetivo los sectores gubernamental, de infraestructuras, académico y sanitario de Taiwán, así como el sector bancario de China.
Esta campaña utilizó correos electrónicos de phishing de tipo «spear-» como principal vector de entrada para distribuir su malware y se valió de un cargador personalizado de Cobalt Strike, el «Symatic loader», además de otras herramientas de piratería informáticas personalizadas.
Earth Longzhi desarrolla y utiliza una herramienta de piratería informática «todo en uno» para sus actividades posteriores a la explotación. Esta herramienta «todo en uno» reúne todas las utilidades necesarias en un único paquete e incluye muchas de ellas que están disponibles públicamente o que se han utilizado en ataques anteriores. Permite al autor de la amenaza llevar a cabo múltiples operaciones utilizando un único archivo ejecutable. Entre sus funciones se incluyen iniciar un proceso con privilegios más elevados, recopilar información sobre unidades locales o remotas, modificar la marca de tiempo de un archivo, desactivar la Protección de archivos de Windows, etc.
La segunda campaña
La segunda campaña se desarrolló entre el August 2021 y el June 2022 y tuvo como objetivo a víctimas de alto perfil de los sectores de la defensa, la aviación, los seguros y el desarrollo urbano en Taiwán, China, Tailandia, Malasia, Indonesia, Pakistán y Ucrania.
Al igual que en la primera campaña, esta campaña utilizó principalmente correos electrónicos de spear-phishing como punto de entrada inicial. Earth Longzhi empleó en esta campaña diversos tipos de cargadores personalizados de Cobalt Strike, a los que Trend Micro denominó CroxLoader, BigpipeLoader, OutLoader y MultipipeLoader.
Trend Micro también recopiló varias herramientas de piratería informática mientras investigaba la segunda campaña. Las herramientas recopiladas estaban destinadas a la escalada de privilegios (PrintNightmare y PrintSpoofer), la extracción de credenciales (Mimikatz) y la elusión de las medidas de defensa (desactivación de productos de seguridad). En lugar de utilizar herramientas públicas, Earth Longzhi vuelve a implementar o desarrolla sus propias herramientas basadas en algunos proyectos de código abierto.
Atribución: Earth Longzhi
Trend Micro atribuyó esta actividad al subgrupo APT41’s «Earth Longzhi» basándose en los siguientes factores:
- de victimología: Las regiones afectadas y los sectores objetivo son países de interés situados en el este y el sudeste asiático, lo que concuerda con la victimología de otro subgrupo de APT 41 , Earth Baku (se abre en una nueva pestaña).
- Metadatos compartidos de Cobalt Strike: Los investigadores descubrieron que la mayoría de las cargas útiles de Cobalt Strike compartían la misma marca de agua y la misma clave pública. Esta combinación de marca de agua y clave pública también la utilizan otros APT41 subgrupos e indica que «Earth Longzhi» comparte el mismo servidor del equipo de Cobalt Strike con otros APT41 subgrupos.
- Similitudes en el código: Los investigadores han descubierto que los algoritmos de descifrado de Symatic Loader y CroxLoader son muy similares al identificado en el GroupCC (se abre en una nueva pestaña), otro subgrupo del APT41 .
- TTP superpuestas: Earth Longzhi ha adoptado la CDN Python Fastly, gestionada por GroupCC, para ocultar la dirección real del servidor de mando y control (C2). Los investigadores consideran que esto constituye una prueba de la existencia de una relación entre ambos subgrupos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
El “APT41 es increíblemente sofisticado, y cualquier posible subgrupo (como Earth Longzhi) debería ser tratado con el mismo grado de precaución que se suele aplicar a su grupo matriz. Las dos campañas de Earth Longzhi observadas por Trend Micro se prolongaron durante varios meses, lo que constituye una prueba más de la sofisticación del grupo y de su compromiso con la seguridad operativa (OPSEC), ya que la actividad permaneció sin atribuir durante más de dos años».
2. Australia se plantea prohibir los pagos a los autores de ransomware
Australia está estudiando actualmente la posibilidad de prohibir los pagos de rescates, en un intento por socavar el aspecto de extorsión del modelo de negocio de la ciberdelincuencia.
Clare O’Neil, ministra de Interior y Ciberseguridad, ha confirmado que el Gobierno está estudiando no solo prohibir los pagos a los autores de ransomware, sino también tipificar como delito los pagos por extorsión, como parte de la estrategia cibernética global del Gobierno.
Por qué Australia podría prohibir los pagos a los autores de ransomware
Últimamente, Australia ha sufrido numerosos incidentes de ciberseguridad de gran repercusión. Una de las filtraciones más destacadas es el incidente de Medibank relacionado con (se abre en una nueva pestaña), que tuvo lugar a principios de este mes. Medibank, una de las mayores aseguradoras sanitarias privadas de Australia, ha revelado recientemente que unos piratas informáticos lograron acceder a los datos personales de sus clientes. La organización declaró que no pagaría ningún rescate a los autores de la amenaza, una decisión que, según se informa, se basó en el asesoramiento recibido de expertos en ciberdelincuencia.
El incidente de Medibank se produjo apenas unas semanas después de que Optus, la segunda empresa de telecomunicaciones más grande de Australia, , sufriera un ciberataque (se abre en una nueva pestaña). Estos ataques han dado lugar, en última instancia, a las deliberaciones que está llevando a cabo actualmente el Gobierno australiano sobre una posible prohibición de los pagos de rescate.
¿Qué otras medidas está tomando Australia?
La idea de Australia de prohibir por completo el pago de rescates surgió tan solo un día después de que el ministro anunciara una nueva operación conjunta permanente entre la Policía Federal Australiana (AFP) y la Dirección Australiana de Señales (ASD) —las principales agencias del país encargadas de la aplicación de la ley y de la inteligencia cibernética y de señales, respectivamente— para combatir la ciberdelincuencia.
Esta nueva iniciativa tiene como objetivo «desarticular las redes de ciberdelincuentes, prestando especial atención a los grupos que representan una amenaza de ransomware», y «recopilará información de inteligencia e identificará a los cabecillas, las redes y la infraestructura con el fin de desarticular y detener sus operaciones, independientemente de dónde se encuentren».
¿Funcionará el plan de Australia contra el ransomware?
La prohibición de los pagos a los autores de ransomware es una propuesta controvertida que probablemente suscite respuestas dispares en función de a quién se le pregunte.
Gran parte de la lógica que sustenta la posible prohibición de los pagos por ransomware se reduce al hecho, repetido en numerosas ocasiones, de que quienes sufren un ataque de ransomware se ven obligados a tratar con delincuentes. Esto plantea una pregunta obvia: ¿cómo se supone que uno debe confiar en un delincuente, sobre todo durante una negociación? Aunque un actor malicioso pueda afirmar que el pago del rescate garantiza que los datos sustraídos no se publicarán y que se restaurarán todos los archivos cifrados, a fin de cuentas no existe ninguna garantía.
Lo único seguro es que pagar el rescate no hace más que recompensar al autor de la amenaza, lo que supone un refuerzo positivo al demostrar que sus esfuerzos son eficaces y fructíferos. Además, el pago de rescates podría convertir a las organizaciones afectadas y a sus respectivos sectores en un objetivo aún más atractivo. Una vez que los autores de las amenazas se dan cuenta de que una determinada empresa, sector o país está dispuesto a pagar un rescate, ese objetivo se vuelve aún más atractivo.
Por otro lado, tipificar como delito el pago de rescates por ransomware podría tener un efecto contrario al deseado. Tal y como señala The Record, esto podría «hacer que los ataques pasen aún más a la clandestinidad, al obligar a las empresas a guardar silencio sobre los incidentes para evitar el escrutinio de las autoridades reguladoras».
El hecho de que el pago de los rescates se realice de forma clandestina oculta estos delitos y dificulta aún más la respuesta de las fuerzas del orden, que ya de por sí resulta complicada.
¿Qué significa esto para los ciberdelincuentes?
Los ciberdelincuentes podrían reaccionar de varias maneras si Australia decidiera seguir adelante con la prohibición de los pagos de rescate.
Por un lado, es posible que los autores de las amenazas ya no consideren a Australia un objetivo lucrativo para sus operaciones de ransomware. ¿Por qué tomarse la molestia y el esfuerzo de llevar a cabo operaciones de ransomware si es ilegal que la víctima pague el rescate? ¿Qué se gana con ello? Por supuesto, este resultado depende totalmente de la suposición de que todas las organizaciones australianas se comprometen a cumplir al pie de la letra la ley, independientemente de lo que ello les pueda suponer en términos de tiempo de inactividad, interrupciones del servicio y daño a su reputación.
Los autores de amenazas también podrían tomárselo como un reto. Al fin y al cabo, las empresas afectadas por un ataque de ransomware podrían intentar ocultar el hecho de que han pagado un rescate si ello llegara a considerarse delito. Si esto llegara a ocurrir, un atacante podría volver a exigir el pago de un rescate adicional para mantener en secreto el primero, lo que supondría una forma más de chantaje que los autores de ransomware podrían añadir a su arsenal de extorsión.
Los autores de amenazas también pueden pasar del ransomware a otros métodos de generar ingresos. No está claro si los autores de las amenazas decidirán desviar sus esfuerzos de Australia hacia otros países o si aprovecharán la posibilidad de obtener pagos de rescate adicionales.
Cómo afecta esto a los seguros cibernéticos
Los seguros cibernéticos varían según la compañía y el período de vigencia de la póliza, pero muchos de ellos pueden cubrir el pago de rescates, así como otras pérdidas económicas relacionadas con los ciberataques. Es probable que las aseguradoras cibernéticas y quienes cuentan con un seguro cibernético tengan que revisar y modificar las pólizas vigentes si se tipificara como delito el pago de rescates.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La intención de Australia de prohibir el pago de rescates podría causar un gran revuelo en el mercado del ransomware». «Al fin y al cabo, prohibir el pago de rescates no acabará con la ciberdelincuencia y es probable que anime a los autores de las amenazas a cambiar de táctica».
«La posibilidad de una prohibición total nos recuerda a la época de la Ley Seca en Estados Unidos, cuando la Ley Volstead prohibió el alcohol. En lugar de impedir que la gente consumiera alcohol, la medida no hizo más que aumentar la violencia de las bandas y generar nuevos mercados clandestinos. «Es probable que esta última circunstancia se produzca tras la prohibición total del pago de rescates».
«Ahora surgen muchas otras preguntas. ¿Pasarán los autores de amenazas del ransomware a otros medios de generación de ingresos en los países que prohíben el pago de rescates? ¿Y es posible que los actores maliciosos dejen de centrarse por completo en estos países? «CTI seguirá de cerca la evolución de la situación en relación con la decisión de Australia de prohibir el pago de rescates y tomará nota de cualquier repercusión que se derive de dicha decisión».
3. El creciente problema de seguridad de Twitter
Twitter se enfrenta actualmente a diversos riesgos de seguridad, al tiempo que la empresa sigue experimentando cambios en su dirección y en su plantilla.
Por ejemplo, los máximos responsables de seguridad de la empresa han dimitido recientemente tras la adquisición por parte de Elon Musk.
Según Politico: «Los principales responsables de seguridad de Twitter (se abre en una nueva pestaña) —entre ellos, el director de seguridad de la información, el director de privacidad, el director de cumplimiento normativo y el responsable de confianza y seguridad— presentaron su dimisión el jueves, alegando el riesgo que supone la implementación de algunas de las nuevas medidas de Musk para generar ingresos (como la nueva política de la marca de verificación) en medio de una investigación en curso de la Comisión Federal de Comercio».
Una salida masiva de los responsables de aplicar las políticas de seguridad de Twitter no augura nada bueno para la capacidad de la empresa de defenderse frente a los piratas informáticos. La situación de ciberseguridad de Twitter ya era motivo de preocupación para muchos y dio lugar a una denuncia en virtud de la Ley de Protección de Informantes ( ) (se abre en una nueva pestaña) presentada por el antiguo responsable de seguridad, Peiter Zatko, a principios de este año. Ahora, la situación parece estar empeorando aún más.
Reducción drástica de plantilla
A agravar la situación, ya de por sí tensa, se suman numerosas informaciones que afirman que Twitter ha despedido a más de 4,000 de los 5,500 empleados con contrato temporal de la empresa.
Al parecer, entre los puestos afectados se incluyen aquellos que forman parte de los «servicios de infraestructura básicos» de Twitter, así como puestos relacionados con la moderación de contenidos y el marketing. Varios tuits de primera mano publicados por personas afectadas por los recortes parecen indicar que muchos empleados de los equipos de confianza y seguridad de Twitter también se vieron afectados.
La plataforma ha recibido numerosas críticas por su gestión de los despidos, (se abre en una nueva pestaña) , que, según han descrito en gran medida los antiguos empleados de Twitter, se llevó a cabo de una manera muy impersonal. Muchos empleados se enteraron de su situación por correo electrónico, mientras que a otros simplemente se les dejó que se las arreglaran por su cuenta cuando se les retiró de repente el acceso al sistema.
Principales preocupaciones en materia de seguridad
Una de las principales preocupaciones en materia de seguridad en Twitter tiene que ver con la enorme cantidad de datos que almacena la empresa, más allá de las simples direcciones de correo electrónico y contraseñas. La empresa también almacena datos en las bandejas de entrada de mensajes directos de (se abre en una nueva pestaña) , pero no utiliza cifrado de extremo a extremo.
Twitter también se enfrenta a las consecuencias de la proliferación de cuentas falsas tras el intento de reforma de su sistema de verificación con la marca azul, que se diseñó inicialmente para aumentar la confianza en la fiabilidad de la información de la plataforma.
A principios de noviembre, Twitter lanzó el servicio de suscripción «Blue», de 7.99 dólares, en su aplicación para iPhone. El servicio permitía a los usuarios adquirir la codiciada marca de verificación azul, un indicador que anteriormente había sido símbolo de la veracidad y autenticidad de una cuenta. Más recientemente, la opción que permitía a los usuarios suscribirse a Twitter Blue ha desaparecido de la aplicación.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Las consecuencias más inmediatas y visibles de estos recientes acontecimientos son las caídas en las cotizaciones bursátiles, así como el creciente número de anunciantes que han suspendido su inversión publicitaria (se abre en una nueva pestaña) en Twitter».
«También hay motivos para preocuparse por el coste humano de la fuga de personal de seguridad de Twitter. «A juzgar por todas las indicaciones, es posible que se haya despedido a todo el equipo de seguridad de Twitter (que, según algunas fuentes, era una empresa incipiente)».
«Por supuesto, Twitter ya estaba plagado de desinformación, bulos y estafas. «Es probable que los avances descritos anteriormente aumenten de forma exponencial la frecuencia con la que el usuario medio de Twitter se encuentre con este tipo de contenidos».
«CTI recomienda actuar con precaución al participar en cualquier tipo de interacción en una red social. «Cuestione todo».
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
