En primer lugar, en el resumen de esta semana, analizamos un innovador aviso conjunto sobre ciberseguridad relativo al malware «Snake», descrito como la herramienta de ciberespionaje más sofisticada que jamás haya surgido del Centro 16 del Servicio Federal de Seguridad de Rusia (FSB). A continuación, CTI analiza un informe de Meta que revela un aumento del malware que se hace pasar por ChatGPT en todas sus plataformas. Por último, CTI analiza un aviso de amenaza de Cisco Talos en el que se detalla una nueva plataforma de «phishing como servicio» (PhaaS) denominada «Greatness», dirigida a organizaciones que utilizan Microsoft 365.
1. La CISA publica un aviso conjunto sobre ciberseguridad en el que se detalla el funcionamiento del malware «Snake»
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) ha publicado un informe conjunto sobre ciberseguridad elaborado en colaboración con el Departamento de Justicia (DoJ), el FBI, la NSA, la Fuerza Nacional de Misión Cibernética (CNMF) del USCYBERCOM, el Centro Nacional de Ciberseguridad del Reino Unido (NCSC), el Centro Australiano de Ciberseguridad (ACSC), el Centro Canadiense de Ciberseguridad y el Centro Nacional de Ciberseguridad de Nueva Zelanda.
El informe ofrece información de fondo detallada sobre el malware « Snake» (se abre en una nueva pestaña), descrito como «la herramienta de ciberespionaje más sofisticada diseñada y utilizada por el Centro 16 del Servicio Federal de Seguridad de Rusia (FSB)».
En comunicados de prensa posteriores de la NSA y el Departamento de Justicia se describen los esfuerzos interinstitucionales de las organizaciones mencionadas anteriormente para identificar y desarticular la infraestructura operativa de Snake.
¿Qué es el malware Snake?
Según BleepingComputer, Snake se identificó inicialmente con los nombres « », «Uroburos» (se abre en una nueva pestaña); al parecer, su desarrollo se inició ya a finales de 2003 y las primeras versiones definitivas del implante se completaron a principios del año siguiente. Poco después se produjeron ataques de espionaje en los que se utilizó dicho malware, atribuidos a piratas informáticos respaldados por el Estado ruso.
La CISA atribuye la sofisticación de Snake a tres aspectos principales.
- Snake alcanza un nivel excepcional de sigilo en los componentes del sistema en el que se aloja y en las comunicaciones de red.
- La arquitectura técnica interna de Snake permite incorporar fácilmente componentes nuevos o de recambio. Esto también facilita el desarrollo y la interoperabilidad de las instancias de Snake que se ejecutan en diferentes sistemas operativos de host. Los autores han detectado implantes «Snake» interoperables diseñados para atacar los sistemas operativos Windows, macOS y Linux.
- Snake es un ejemplo de diseño e implementación minuciosos en ingeniería de software. El implante contiene muy pocos errores.
A la considerable eficacia del implante se suma la capacidad de sus desarrolladores de FSB para implementar rápidamente nuevas funciones y técnicas en respuesta a la información de código abierto sobre las tácticas, técnicas y procedimientos (TTP) de Snake.
Los autores del informe conjunto señalan las continuas modificaciones de Snake como un obstáculo recurrente para la identificación y recopilación de Snake y sus artefactos relacionados, lo que, en última instancia, frena cualquier esfuerzo serio por crear detectores fiables que puedan integrarse en herramientas defensivas basadas en el host y en la red.
La creación de un implante de ciberespionaje tan eficaz y sorprendentemente duradero como Snake depende, ante todo, de su capacidad para mantener el sigilo a largo plazo. El malware de este calibre está diseñado para campañas de espionaje en las que es necesario permanecer en el sistema objetivo sin ser detectado durante meses o incluso años, con el fin de garantizar un acceso constante a información valiosa y facilitar su recopilación y exfiltración.
Teniendo esto en cuenta, Snake es el resultado «único y sofisticado» de una iniciativa decidida del FSB, dedicada a facilitar el acceso encubierto a objetivos de gran valor durante períodos de tiempo indefinidos, en apoyo de las necesidades de inteligencia (IR).
¿Quién es el responsable del malware «Snake»?
Los coautores del informe conjunto atribuyen las operaciones «Snake» a «una unidad conocida perteneciente al Centro 16 del FSB».
Además de «Snake», según se informa, esta unidad cuenta con acceso a otros elementos del conjunto de herramientas que se cree que pertenecen al notorio grupo de amenazas respaldado por Rusia, Turla. Snake ha formado parte de forma habitual de su conjunto de herramientas, lo que demuestra el considerable impacto del implante en múltiples aspectos de las operaciones cibernéticas actuales del FSB.
En el informe se afirma que Snake ha constituido un componente fundamental de las operaciones del Centro 16’s durante casi todo el tiempo que la unidad ha estado operando bajo los auspicios del FSB.
Victimología del malware «Snake»
Durante la investigación, se descubrió infraestructura relacionada con la operación en más de 50 países de América del Norte, América del Sur, África, Europa, Asia y Australia, incluidos los Estados Unidos y Rusia.
Se vieron afectadas organizaciones con sede en EE. UU. de diversos sectores, entre ellos la educación, la empresa privada, los medios de comunicación y sectores considerados de infraestructura crítica, como las instalaciones gubernamentales, los servicios financieros, la industria manufacturera y las comunicaciones.
Según el comunicado conjunto:
Aunque Snake aprovecha la infraestructura de todos los sectores, su enfoque es específico y de carácter táctico. Por ejemplo, si un sistema infectado no respondía a las comunicaciones de Snake, los agentes del FSB lo volvían a infectar estratégicamente en cuestión de días. A nivel mundial, el FSB ha utilizado Snake para recabar información confidencial de objetivos de alta prioridad, como redes gubernamentales, centros de investigación y periodistas.
Metodología «Snake»
Una declaración jurada de (se abre en una nueva pestaña) y , así como una orden de registro (se abre en una nueva pestaña) , revelan que las agencias del Gobierno de EE. UU. han estado vigilando el malware Snake y las operaciones relacionadas con él durante la mayor parte de los últimos 20 años —un esfuerzo que incluyó el seguimiento minucioso de los hackers de Turla mientras desplegaban Snake desde unas instalaciones del FSB en Rusia.
Estas y otras iniciativas conjuntas han aportado información muy valiosa sobre la arquitectura de Snake, así como sobre otras herramientas y TTP empleadas durante las operaciones en las que se utilizó el implante.
Según el comunicado conjunto:
El FSB suele implementar Snake en los nodos de infraestructura de la red expuestos al exterior y, desde allí, utiliza otras herramientas y TTP en la red interna para llevar a cabo operaciones de explotación adicionales. Una vez que ha conseguido y consolidado el acceso a una red objetivo, el FSB suele realizar un análisis de la red y se dedica a obtener las credenciales de administrador y a acceder a los controladores de dominio. Se ha recurrido a una amplia variedad de mecanismos para recabar credenciales de usuarios y administradores con el fin de expandirse lateralmente por la red, entre los que se incluyen registradores de teclas, analizadores de red y herramientas de código abierto.
Estas operaciones son posibles gracias a los piratas informáticos del FSB, que llevan a cabo un reconocimiento previo de la red —trazando un mapa de las redes y obteniendo las credenciales necesarias para los dominios de los objetivos—.
Snake resulta tan eficaz como herramienta de recopilación de información que era poco habitual que sus operadores utilizaran implantes adicionales de «gran envergadura»; en su lugar, recurrían principalmente a herramientas internas ligeras de acceso remoto y, en ocasiones, a pequeños shells inversos remotos para facilitar las funciones interactivas de Snake.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Como mínimo, las revelaciones que figuran en el aviso conjunto y en los diversos comunicados de prensa de (se abre en una nueva pestaña) , que tratan sobre el desmantelamiento de la infraestructura global de malware de Snake a manos de un equipo formado por organismos multinacionales de ciberseguridad y fuerzas del orden, sirven como un claro recordatorio de dos cosas:
- En primer lugar, los piratas informáticos y los desarrolladores de malware patrocinados por el Estado ruso operan a un nivel que rivaliza con el de muchos de los principales fabricantes de software actuales. Esto queda patente en la complejidad, la longevidad y la eficacia suprema de Snake.
- En segundo lugar, resulta evidente que la comunidad de inteligencia de EE. UU. está adoptando una postura más enérgica frente a los ciberdelincuentes (ya sean respaldados por un Estado o no) que operan desde territorio extranjero».
2. Los piratas informáticos utilizan señuelos de ChatGPT para difundir malware en Facebook
Meta, la empresa matriz de Facebook, está observando un aumento (se abre en una nueva pestaña) del malware que se hace pasar por ChatGPT en todas sus plataformas.
Desde el March 2023, el equipo de seguridad de Meta ha detectado 10 familias de malware que utilizan ChatGPT y otros temas relacionados con la inteligencia artificial para distribuir malware. Entre estas familias de malware se encuentran Ducktail y
NodeStealer ataca a sus víctimas a través de extensiones maliciosas para el navegador, anuncios y diversas plataformas de redes sociales.
A continuación, se presentan algunas conclusiones clave:
- En los últimos meses, Meta ha investigado y tomado medidas contra varias variantes de malware que se aprovechaban del interés de la población por ChatGPT y las funcionalidades relacionadas con la inteligencia artificial. Los últimos intentos observados por Meta no se limitaron únicamente a Facebook, sino que también incluyeron servicios de intercambio de archivos como Dropbox, Google Drive, Mega, MediaFire, Discord, Trello (de Atlassian), OneDrive e iCloud para alojar malware.
- En un caso observado por Meta, el autor de la amenaza creó extensiones maliciosas para el navegador que se ponían a disposición en tiendas web oficiales y que, según afirmaban, ofrecían herramientas basadas en ChatGPT. A continuación, estas extensiones de navegador se promocionaron en redes sociales y a través de resultados de búsqueda patrocinados para engañar a las víctimas y que descargaran malware.
- En algunos casos, las extensiones incluían funcionalidades legítimas de ChatGPT junto con el malware. En respuesta a ello, Meta ha bloqueado la difusión en sus plataformas de más de 1.000 direcciones URL maliciosas únicas relacionadas con ChatGPT.
¿Qué es el malware Ducktail?
El malware «Ducktail» lleva ya bastante tiempo en circulación y está diseñado para robar las cookies del navegador y aprovecharse de las sesiones de Facebook sin autenticar. Además, se centra en LinkedIn para inducir a las víctimas, mediante técnicas de ingeniería social, a descargar malware, y utiliza servicios de alojamiento de archivos para alojar su malware.
Meta ha estado realizando un seguimiento y bloqueando diversas versiones de Ducktail a lo largo de los años. En la última versión, los operadores de Ducktail comenzaron a conceder automáticamente permisos de administrador de la empresa a las solicitudes de acciones relacionadas con la publicidad enviadas por los atacantes, en un intento por agilizar sus operaciones.
¿En qué consiste la variante de malware NodeStealer?
Meta ha descubierto recientemente y ha neutralizado una nueva variante de malware conocida como NodeStealer. En « January 2023», su equipo de seguridad observó que el malware atacaba los navegadores de Internet de los dispositivos Windows, con el objetivo de sustraer cookies y nombres de usuario y contraseñas guardados. NodeStealer es un malware de JavaScript personalizado que, según se cree, es de origen vietnamita.
Meta tomó medidas para desactivar NodeStealer, al parecer en el plazo de dos semanas desde su puesta en marcha. Presentaron múltiples solicitudes de retirada a registradores externos, proveedores de alojamiento y servicios de aplicaciones que habían sido objeto de ataques por parte de estos actores maliciosos. Según Meta, estas medidas permitieron neutralizar con éxito el malware.
NodeStealer suele distribuirse como un archivo PDF o Excel camuflado, con el icono y el nombre de archivo legítimos correspondientes, con el fin de engañar a los usuarios para que abran el archivo malicioso.
Su objetivo es robar contraseñas almacenadas e información de sesiones de cookies de los navegadores basados en Chromium. El malware se centra en los navegadores Chrome, Opera, Microsoft Edge y Brave para obtener esta información.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El interés del público por ChatGPT y las tecnologías relacionadas con la inteligencia artificial sigue creciendo, por lo que no es de extrañar que los autores de amenazas se estén esforzando por sacar partido de este creciente interés».
«Meta afirma haber desarticulado la familia de malware NodeStealer y, aunque sin duda se trata de una noticia positiva, es solo cuestión de tiempo que surja la próxima actividad cibernética relacionada con ChatGPT».
3. Aparece en la red una nueva herramienta de «phishing como servicio»
Cisco Talos ha publicado un aviso de amenaza en el que se detalla una nueva plataforma de phishing como servicio (PhaaS) de , (se abre en una nueva pestaña),, , denominada «Greatness».
Se ha observado que esta plataforma ataca a organizaciones que utilizan Microsoft 365, y muchas de las víctimas se encuentran en EE. UU. El servicio incluye funciones que rellenan automáticamente la dirección de correo electrónico de la víctima y muestran de forma automática el logotipo y la imagen de fondo correspondientes, extraídos de la página de inicio de sesión real de Microsoft 365 de la organización.
El kit de phishing funciona en combinación con la API de Greatness para solicitar información a la víctima e intenta iniciar sesión en la página legítima de Microsoft 365 en tiempo real.
¿En qué consiste la plataforma Greatness PhaaS?
Se ha observado una gran actividad en múltiples campañas de phishing desde, al menos, mediados de 2022, con picos de actividad en December 2022 y March 2023. Incorpora funciones similares a las que se observan en algunas de las ofertas de PhaaS más avanzadas de , entre las que se incluyen la autenticación multifactorial (MFA) el bypass, el filtrado de direcciones IP y la integración con bots de Telegram.
En estos momentos, la herramienta se centra en las páginas «Microsoft 365 » y ofrece a sus afiliados una herramienta para crear archivos adjuntos y enlaces con el fin de diseñar páginas de inicio de sesión muy convincentes. Como se ha señalado anteriormente, es capaz de rellenar automáticamente la dirección de correo electrónico de la víctima y mostrar de forma automática el logotipo y la imagen de fondo correspondientes de la empresa, que han extraído de la página de inicio de sesión legítima. Esto hace que Greatness resulte atractivo para los autores de amenazas que buscan llevar a cabo ataques de phishing contra usuarios empresariales.
Los afiliados que utilicen Greatness deben implementar y configurar un kit de phishing que se les proporciona junto con una clave API, lo que permite incluso a los autores de amenazas sin experiencia sacar partido del servicio. El kit de phishing y la API actúan como un proxy del sistema de autenticación de Microsoft 365 , llevando a cabo un ataque de tipo «hombre en medio» para sustraer las credenciales de autenticación o las cookies de la víctima.
Greatness PhaaS consta de tres componentes, entre los que se incluyen un kit de phishing que contiene el panel de administración, la API del servicio y un bot de Telegram o una dirección de correo electrónico.
Actividad y victimología
- Al parecer, «Greatness» hizo su aparición a mediados de 2022, con picos de actividad en December 2022 y March 2023, según el número de muestras de archivos adjuntos disponibles en VirusTotal.
- Cada campaña analizada tiene un enfoque geográfico ligeramente diferente. Sin embargo, más del 50 % de todos los objetivos tenían su sede en EE. UU.
- «Greatness» está diseñado para afectar a los usuarios de Microsoft 365 , lo que hace que el número de posibles víctimas sea muy elevado. Según el estudio realizado por Cisco Talos, los sectores de la industria manufacturera, la sanidad y la tecnología fueron los más afectados por Greatness.
Un análisis de la secuencia de ataque «Greatness»
El flujo de ataque de una campaña relacionada con Greatness comienza cuando una víctima recibe un correo electrónico malicioso. Estos correos electrónicos suelen contener un archivo HTML como archivo adjunto y incitan a la víctima a abrirlo.
Cuando la víctima abra el archivo HTML, el navegador web ejecutará un breve fragmento de código JavaScript ofuscado para establecer una conexión con el servidor del atacante. Esta conexión permite a Greatness obtener el código HTML de la página de phishing y mostrárselo al usuario en la misma ventana del navegador. El código contiene una imagen borrosa y una rueda giratoria, lo que da la impresión de que el documento se está cargando. La página redirigirá a la víctima a una página de inicio de sesión de Microsoft 365 en la que ya aparecerán rellenados la dirección de correo electrónico de la víctima y el fondo o logotipo personalizado correspondiente que utiliza su empresa.
Una vez que la víctima ha introducido su contraseña, Greatness intenta iniciar sesión en Microsoft 365 con las credenciales de la víctima. Si la víctima tiene activada la autenticación multifactorial (MFA), el servicio le pedirá que se autentique.
Cuando el servicio recibe la solicitud de autenticación multifactorial (MFA), sigue suplantando a la víctima de forma oculta, completando el proceso de inicio de sesión y recopilando las cookies de sesión autenticadas. A continuación, se envía a la filial del servicio a través de su canal de Telegram o directamente mediante el panel web.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Lo más interesante del Greatness PhaaS es que no se limita únicamente al robo de credenciales, como ocurre con el phishing tradicional. Greatness envía las credenciales robadas a la página de inicio de sesión legítima de Microsoft en tiempo real, lo que permite al autor de la amenaza acceder de inmediato a la cuenta de la víctima.
«Aún no hay demasiada información disponible sobre el aspecto que tienen los mensajes de correo electrónico engañosos de Greatness, pero CTI irá proporcionando novedades a medida que se conozcan más detalles».
¿Tiene alguna reflexión sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « ».
