Esta semana, CTI analiza dos grupos de amenaza relacionados con el fraude por suplantación de correo electrónico empresarial (BEC) que actualmente llevan a cabo campañas globales y multilingües. A continuación, se presenta un análisis detallado de la última campaña de Corea del Norte APT37’s (también conocida como ScarCruft o RedEyes), en la que el actor malicioso distribuye un nuevo malware evasivo denominado M2RAT , utilizando una interesante combinación de esteganografía y aprovechamiento de vulnerabilidades en su operación de ciberespionaje. Y, por último, concluimos con un análisis detallado del último ataque dirigido contra un repositorio de software de código abierto: una campaña que consistió en la publicación de cinco paquetes maliciosos, todos ellos con el malware de robo de información « W4SP Stealer», en las direcciones January 27 y January 29, 2023.
1. Los grupos BEC llevan a cabo ataques multilingües en los que se hacen pasar por directivos, dirigidos a empresas de todo el mundo
Dos grupos dedicados al fraude mediante suplantación de correo electrónico empresarial (BEC) están utilizando actualmente herramientas de traducción automática para facilitar, de forma simultánea y en varios idiomas, los fraudes en los pagos y los ataques de desvío de nóminas.
El BEC sigue siendo una de las amenazas cibernéticas que más rápido crece y que mayor daño económico causa. El El FBI estima (se abre en una nueva pestaña) que las estafas de tipo BEC han provocado pérdidas por valor de más de 43 000 millones de dólares desde 2016 —el mismo año en que los ataques de tipo BEC ocuparon por primera vez (se abre en una nueva pestaña) el primer puesto en la lista del FBI de los delitos cibernéticos más costosos de EE. UU. Desde entonces ha ocupado ese lugar.
Los investigadores observan ataques selectivos y multilingües
Según se ha informado, los investigadores de Abnormal Intelligence han identificado dos grupos que se valen de la suplantación de identidad de directivos para llevar a cabo ataques de tipo « » (BEC) contra empresas internacionales. (se abre en una nueva pestaña) La empresa ha identificado a estos grupos como «Midnight Hedgehog» —dedicado al fraude en los pagos— y «Mandarin Capybara» —un grupo especializado en ataques de desvío de nóminas—.
En conjunto, estos dos grupos son los responsables de lanzar campañas de BEC en nada menos que 13 idiomas diferentes, entre los que se incluyen el danés, el neerlandés, el estonio, el francés, el alemán, el húngaro, el italiano, el noruego, el polaco, el portugués, el español y el sueco.
TTP observadas
Los ciberataques multilingües a gran escala dirigidos a víctimas de todo el mundo solían ser coto exclusivo de los actores maliciosos de primer nivel. Se trataba de organizaciones de ciberdelincuencia muy cualificadas y sofisticadas, que contaban con amplios presupuestos y tenían acceso a una cantidad considerable de recursos. De hecho, la creación de múltiples versiones convincentes de correos electrónicos en idiomas extranjeros solía obligar a estos grupos a contratar a lingüistas o a contar con hablantes nativos entre su personal.
Sin embargo, los recientes avances tecnológicos hacen que el proceso sea mucho más sencillo y asequible de poner en marcha. Como consecuencia, los obstáculos que impedían a los ciberdelincuentes menos experimentados llevar a cabo operaciones tan ambiciosas se han ido reduciendo progresivamente.
La disponibilidad de tecnología de marketing eficaz y de bajo coste, junto con la proliferación de aplicaciones de traducción de gran precisión, han actuado conjuntamente como auténticos multiplicadores de fuerza, lo que ha permitido a los autores de ciberamenazas ampliar rápidamente sus actividades y llevar a cabo campañas con graves consecuencias económicas a escala mundial. Además, la llegada del aprendizaje automático y la incorporación de dicha tecnología en las herramientas de traducción con el fin de mejorar el contexto y el realismo ha facilitado que los atacantes manipulen plataformas basadas en la inteligencia artificial, como ChatGPT (se abre en una nueva pestaña) , con fines maliciosos.
Los jugadores
El informe de Abnormal Intelligence se centra en las actividades de dos grupos multilingües dedicados al BEC, cada uno con su propia especialidad.
Midnight Hedgehog (especialidad: fraude en pagos a nivel mundial)
Midnight Hedgehog recurre principalmente a lo que se ha convertido en una táctica habitual en las estafas de ingeniería social con fines económicos, utilizando , suplantación de identidad de directivos (se abre en una nueva pestaña) para engañar a los destinatarios y que estos realicen pagos por servicios falsos —por lo general, haciéndose pasar por el director general de una empresa—.
Los actores de Midnight Hedgehog parecen investigar a fondo las funciones y responsabilidades asociadas a los cargos que ocupan sus objetivos. Se hacen una idea completa de la relación del objetivo con el director general para crear cuentas de correo electrónico falsificadas muy convincentes que imitan a las cuentas reales.
Estos ataques suelen dirigirse a los responsables financieros u otros empleados de alto rango encargados de iniciar las transacciones de la empresa, o bien a empleados de menor rango o sin experiencia que también están autorizados a tomar decisiones financieras y a iniciar pagos en nombre de la organización.
Según se informa, la actividad de Midnight Hedgehog se remonta, como mínimo, a January 2021. Los ataques han procedido de cuentas alojadas en una gran variedad de proveedores de correo electrónico gratuito, como Gmail, Yandex, Earthlink y Web.de. Los dominios creados por el grupo se han registrado en NameCheap o GoDaddy. Los datos de «Abnormal Intelligence» indican que los miembros del grupo se encuentran repartidos por diversos países, como el Reino Unido, Estados Unidos, Canadá y Nigeria.
Mandarin Capybara (especialidad: ataques de desvío de nóminas a escala mundial)
Mandarin Capybara también utiliza una amplia variedad de idiomas en sus ataques para hacerse pasar por directivos de las empresas. Sin embargo, la principal diferencia radica en que Mandarin Capybara se dedica a la desviación de nóminas, en lugar de al fraude en los pagos. Esto implica dirigirse a los empleados del departamento de Recursos Humanos y convencerlos de que modifiquen los datos de la domiciliación bancaria asociados a las cuentas que están bajo el control del directivo, y que cambien dichos datos para que reflejen los de una cuenta controlada por los atacantes.
Otra diferencia entre ambos grupos radica en los patrones de selección de objetivos de Mandarin Capybara. A diferencia de «Midnight Hedgehog», que solo se ha observado atacando a empresas en Europa con mensajes que no están en inglés, las víctimas de «Mandarin Capybara» se encuentran repartidas por una amplia zona geográfica, lo que afecta a empresas de todo el mundo.
En lo que respecta a los primeros correos electrónicos de Mandarin Capybara, los mensajes difieren muy poco de muchas de las plantillas de desviación de nóminas que utilizan a diario las redes de estafadores de BEC. Por lo general, el atacante pregunta si puede actualizar su cuenta de nómina, de modo que los cambios entren en vigor antes de la próxima fecha de pago.
Curiosamente, Abnormal Intelligence informa de que ha observado varios casos en los que el grupo lanzó una campaña de BEC en un idioma y, poco después, puso en marcha una segunda campaña desde la misma cuenta de correo electrónico (aunque en otro idioma), dirigida a una organización diferente.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Los ataques de tipo BEC han ocupado el primer puesto como la forma de ciberdelito que más pérdidas económicas ha causado durante los últimos siete años consecutivos. Por ello, CTI considera que cualquier dato que podamos aportar sobre la metodología de este tipo concreto de ciberdelincuentes constituye una información valiosa, sobre todo cuando se trata de grupos como estos, que muestran una afinidad por la innovación y demuestran un claro interés por emplear tácticas, técnicas y procedimientos (TTP) novedosos».
«Lamentablemente, no existe ningún proveedor ni solución técnica que, por sí solo, pueda protegerle a usted y a su empresa frente a los ataques de BEC. Sin embargo, casos como el anterior ponen de relieve la importancia cada vez mayor de impartir una formación y sensibilización sobre ingeniería social que sea sólida, adaptada a cada función, específica y periódica».
2. Los hackers de RedEyes utilizan un nuevo malware para robar datos de Windows y teléfonos móviles
A recent report (opens in a new tab)by AhnLab Security Emergency Response Center (ASEC) dives into APT37’s latest campaign. APT37, also known as RedEyes, uses a new evasive M2RAT malware and steganography in its cyberespionage campaign.
APT37 is : un grupo financiado por el Estado norcoreano, (se abre en una nueva pestaña) , que lleva llevando a cabo campañas de ciberespionaje al menos desde 2012. Este grupo ya ha atacado anteriormente a víctimas en Corea del Sur, Japón, Vietnam, Rusia, Nepal, China, la India, Rumanía, Kuwait y otras zonas de Oriente Medio. Se sabe que este grupo roba información personal de ordenadores, así como datos de teléfonos móviles, a personas concretas.
Resumen de la campaña
En este ataque, APT37 aprovecha una antigua vulnerabilidad de EPS (CVE-2017-8291 (se abre en una nueva pestaña)), junto con la esteganografía, para distribuir código malicioso.
Cabe destacar que la vulnerabilidad utilizada en el ataque es bastante antigua y ya se ha corregido. Al parecer, el autor del ataque intentó llevar a cabo la acción sabiendo que la persona utilizaba una versión obsoleta y que, por lo tanto, era vulnerable. El nuevo malware identificado en la campaña ha recibido el nombre de M2RAT (Map2RAT), en función del nombre de la sección de memoria compartida utilizada en el ataque.
Las funciones principales del M2RAT son el registro de pulsaciones de teclas, la filtración de datos, la ejecución y la interrupción de procesos, y la captura de pantalla. La puerta trasera no almacena los datos de registro de teclas ni las capturas de pantalla en el sistema de la víctima, sino que los envía al servidor C2 del atacante para no dejar rastro en el sistema.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El modelo M2RAT que se ha utilizado en esta campaña presenta algunas características interesantes. Cabe destacar, sobre todo, el uso de una sección de memoria para reducir al mínimo los intercambios con el C2. This feature makes analysis even more difficult for security researchers, forcing them to additionally analyze that memory section to get the full picture of commands used by the malware. APT37’s use of this malware clearly indicates its ability to continually refresh its toolset with malware to keep its campaigns from being easily detectable.”
3. Los desarrolladores, en el punto de mira del malware « W4SP Stealer» en paquetes maliciosos de PyPI
En otro ejemplo más de la multitud de amenazas a las que se enfrenta la cadena de suministro del software de código abierto, los investigadores de seguridad de Fortinet (se abre en una nueva pestaña) han descubierto «varios nuevos ataques de día cero en los paquetes de PyPI (Python Package Index) por parte del autor de malware ‘Core1337’, quien publicó los siguientes paquetes: ‘3m-promo-gen-api’, «Ai-Solver-gen», «hypixel-coins», ‘httpxrequesterv2’ y «httpxrequester».»
Los ataques se hicieron públicos durante un breve intervalo de tiempo entre el 10 de enero de 27-29. Cada uno de los paquetes maliciosos contenía W4SP Stealer (se abre en una nueva pestaña), que es un programa malicioso destinado al robo de información.
Detalles del ataque
Se han detectado cinco paquetes maliciosos en el repositorio PyPI, un repositorio de software diseñado para albergar paquetes creados en el lenguaje de programación Python. Su objetivo es permitir a los desarrolladores encontrar paquetes ya existentes que cumplan diversos requisitos de los proyectos, lo que les ahorrará tiempo y esfuerzo.
Los paquetes se han eliminado desde que se descubrieron, pero no antes de que cientos de desarrolladores descargaran el software malicioso. Según los investigadores de Fortinet, cada paquete tenía una versión y una descripción vacía, y todos contenían un código malicioso similar.
El análisis de Fortinet ha permitido determinar que, una vez instalados, estos paquetes intentan sustraer las contraseñas guardadas en los navegadores, las cookies y los monederos de criptomonedas. BleepingComputer ha confirmado que el tipo de malware dedicado al robo de información que contienen los paquetes maliciosos es el W4SP Stealer, una variante de malware de este tipo que se ha utilizado con gran frecuencia en campañas que implican la inyección de paquetes de software malicioso en repositorios de software de código abierto (en particular, , PyPI (se abre en una nueva pestaña),y ).
W4SP Ladrón
Según BleepingComputer, el malware extrae datos de navegadores como Chrome, Opera y Edge. A continuación, intenta extraer las cookies de autenticación de Discord, Discord Canary, Discord PTB y el cliente LightCord. A continuación, el malware intentará robar las carteras de criptomonedas Atomic Wallet y Exodus, así como las cookies del juego «The Nations Glory».
El malware también se dirige a una lista de sitios web para obtener cualquier otra información confidencial de los usuarios que pudiera ayudar a los atacantes a suplantar cuentas.
Entre los sitios web seleccionados se incluyen, entre otros, los siguientes:
- Coinbase.com
- Gmail.com
- YouTube.com
- Instagram.com
- PayPal.com
- Telegram.com
- Hotmail.com
- Outlook.com
- Aliexpress.com
- ExpressVPN.com
- eBay.com
- Playstation.com
- Xbox.com
- Netflix.com
- Uber.com
Cuando se han recopilado suficientes datos del equipo infectado, el malware envía la información sustraída a través de un webhook de Discord, que publica en el servidor del atacante.
Según BleepingComputer, «los webhooks de Discord permiten a los usuarios enviar mensajes que contienen archivos a un servidor de Discord y suelen utilizarse de forma indebida para sustraer archivos, tokens de Discord y otra información».
Por si esto no fuera ya suficientemente grave, los investigadores de Fortinet también detectaron la existencia de funciones dentro de « W4SP » que comprueban si los archivos contienen determinadas palabras clave; si las encuentran, el malware intenta robarlas a través del servicio de transferencia de archivos «transfer.sh». Dichas palabras clave se refieren principalmente a los servicios financieros: contraseñas bancarias, datos de PayPal, información relacionada con las criptomonedas y archivos de autenticación multifactorial (MFA) de .
Algunas de estas palabras clave también están en francés, lo que apunta a una posible región de origen del autor o autores de la amenaza que se encuentran detrás del ataque.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Este ataque muestra un cierto grado de eficacia. Un creador de malware logró publicar con éxito varios paquetes, todos ellos con nombres distintos pero que contenían código similar diseñado para lanzar ataques, utilizando, en la mayoría de los casos, un único script de Python y los webhooks de Discord. «Esto debería servir como un recordatorio más de que los repositorios de software de código abierto, como PyPI, no son en absoluto inmunes a los abusos y aún están muy lejos de contar con la seguridad necesaria».
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
