En el resumen de esta semana, CTI investiga una red de profesionales de las tecnologías de la información de todo el mundo que operan en nombre del Gobierno de Corea del Norte. A continuación, CTI analiza cómo los autores de amenazas se aprovechan de las funciones legítimas de los sitios web para enviar spam. Por último, CTI concluye con un repaso al análisis realizado por Recorded Future sobre 82 deepfakes de « » (se abre en una nueva pestaña) identificados entre July 2023 y July 2024.
Los trabajadores de TI norcoreanos se infiltran en organizaciones internacionales a través del teletrabajo
Mandiant está realizando un seguimiento activo de (se abre en una nueva pestaña),y , una red de profesionales de TI de todo el mundo que actúan en nombre del Gobierno de Corea del Norte. Estos trabajadores buscan empleo en organizaciones de diversos sectores. Sus principales objetivos son obtener beneficios económicos, mantener el acceso a largo plazo con vistas a una posible explotación futura y, en su caso, llevar a cabo actividades de espionaje. Mandiant identifica a este grupo con el número UNC5267.
¿Quién es UNC5267?
El grupo UNC5267, activo desde 2018, no es un grupo de amenazas centralizado al uso. Se trata de personas enviadas a vivir fuera de Corea del Norte para conseguir puestos de trabajo en empresas occidentales, con especial interés en el sector tecnológico estadounidense.
Estas personas suelen utilizar identidades robadas para solicitar puestos de trabajo a tiempo completo o como autónomos. Suelen presentar su candidatura a puestos que ofrecen oportunidades de teletrabajo al 100 %. Mandiant ha observado casos en los que los trabajadores del sector de las tecnologías de la información desempeñan varios trabajos a la vez.
Principales conclusiones del informe de Mandiant
Mandiant ha dado a conocer detalles de algunos de sus proyectos de respuesta a incidentes en los que han participado profesionales de las tecnologías de la información patrocinados por la República Popular Democrática de Corea (RPDC). Estas actividades se referían principalmente a trabajadores que desempeñaban sus funciones dentro del ámbito de las tareas para las que habían sido contratados. No obstante, Mandiant también observó algunos casos en los que los trabajadores solicitaban un acceso con privilegios para modificar el código o administrar los sistemas de red.
Mandiant ha identificado numerosos currículos que se están utilizando para solicitar puestos de trabajo a distancia. Hay casos en los que la dirección de correo electrónico utilizada por un presunto trabajador del sector de las tecnologías de la información ya se había detectado anteriormente en otros casos relacionados con trabajadores de dicho sector. Partiendo de esta base, pudieron identificar otros currículos que parecían similares, pero en los que figuraban nombres, números de teléfono, universidades y otras credenciales diferentes.
Por lo general, estas personas envían los dispositivos propiedad de la empresa a centros de servidores y acceden a ellos de forma remota para desempeñar sus funciones laborales. Utilizan las siguientes herramientas para conectarse a los dispositivos:
- GoToRemote / LogMeIn
- GoToMeeting
- Escritorio remoto de Chrome
- AnyDesk
- TeamViewer
- RustDesk
Medidas recomendadas
Mandiant recomienda varias medidas para evitar contratar accidentalmente a autores de amenazas.
Entre sus consejos se incluyen los siguientes:
- Evaluar minuciosamente a los candidatos a un puesto de trabajo
- Verificación de números de teléfono
- Comprobar a dónde se envía el ordenador portátil de la empresa
- Solicitud de verificación del número de serie del ordenador portátil en el momento de la incorporación al sistema informático
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Cada vez son más las personas vinculadas a la República Popular Democrática de Corea que se hacen pasar por profesionales de las tecnologías de la información y solicitan empleo en organizaciones internacionales con el fin de llevar a cabo actividades ilícitas.
Según Mandiant, es probable que esta amenaza persista, sobre todo a medida que los atacantes desarrollen nuevas formas de engañar a los equipos de recursos humanos y de selección de personal para que les permitan introducirse en estos entornos.
Mandiant resume muy bien esta amenaza:
Las dos motivaciones que subyacen a sus actividades —cumplir los objetivos del Estado y obtener beneficios económicos personales— las convierten en especialmente peligrosas.
Los autores de amenazas se aprovechan de la infraestructura de los sitios web para enviar correo basura
Un nuevo e e informe de Cisco Talos (se abre en una nueva pestaña) describe cómo los autores de amenazas se aprovechan de sitios web legítimos para distribuir spam.
La infraestructura utilizada en estos ataques suele emplearse con fines legítimos, lo que dificulta el bloqueo de estos mensajes. Los investigadores han determinado que esta actividad presenta tanto un aspecto automatizado como otro humano, y han observado cómo el autor comprueba las credenciales obtenidas a través de filtraciones de datos.
Uso indebido de formularios web
Cisco Talos afirma que los autores de amenazas hacen un uso indebido de los formularios web para eludir los filtros de correo no deseado. Por ejemplo, los sitios web que permiten a los usuarios registrarse para crear una cuenta suelen enviarles correos electrónicos de confirmación. Actualmente, los actores están sobrecargando los campos de «nombre» con texto y enlaces, y respondiendo con spam.
Lo mismo ocurre con los formularios de inscripción a eventos y los formularios de contacto. Los participantes también utilizan formularios web relacionados con los cuestionarios de Google y otras aplicaciones.
Datos de acceso comprometidos
Además de hacer un uso indebido de los formularios web, los autores de las amenazas aprovechan las credenciales sustraídas para enviar correo basura. Por ejemplo, los delincuentes utilizarán credenciales robadas para intentar acceder a la cuenta de correo electrónico de la víctima. El acceso directo a la cuenta de correo electrónico suele llevarles a información confidencial adicional y les permite recibir códigos de autenticación multifactorial de (se abre en una nueva pestaña) a través de dicha cuenta de correo electrónico.
También se ha observado que algunos actores utilizan credenciales para acceder a servidores SMTP de salida. Desde aquí, pueden enviar mensajes a través de su servidor y correos electrónicos desde un servidor de correo legítimo que, con toda probabilidad, no será bloqueado. Los participantes crearán una cuenta de correo electrónico personal o de prueba y se enviarán a sí mismos mensajes de prueba utilizando las credenciales robadas para confirmar que todo funciona correctamente.
Además, existen numerosas herramientas de código abierto a disposición de los interesados para llevar a cabo esta tarea. Una de las herramientas más habituales es MadCat, una herramienta SMTP de código abierto con funciones de «credential stuffing».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Muchas de las estrategias que utilizan los autores de amenazas para hacer un uso indebido de los formularios web consisten en el envío de mensajes inesperados, como confirmaciones aleatorias de inscripción o de eventos. Los usuarios finales deben valorar detenidamente si esperan recibir mensajes de determinados remitentes antes de abrirlos.
Esto también sirve como recordatorio para utilizar , seguir unas buenas prácticas en materia de contraseñas (se abre en una nueva pestaña). Los autores de amenazas suelen aprovechar las credenciales robadas durante los ataques. Crear contraseñas seguras puede dificultarles el acceso a las cuentas privadas.
Recorded Future arroja luz sobre los «deepfakes» políticos
El último informe de Recorded Future, titulado « » (se abre en una nueva pestaña) , analiza 82 deepfakes recopilados entre July 2023 y July 2024. Los «deepfakes» suplantan la identidad de figuras públicas, entre las que se incluyen cargos electos, candidatos a las elecciones y periodistas de 38 países.
Según el informe, los objetivos más habituales son promover estafas financieras y falsificar declaraciones.
Principales objetivos de los deepfakes
Los investigadores identificaron «deepfakes» que suplantaban la identidad de personas de 38 países diferentes, siendo las de la UE las más suplantadas.
Las personas suplantadas se han clasificado en cuatro categorías: jefes de Estado y de Gobierno, candidatos electorales, cargos electos y miembros de los medios de comunicación.
Objetivos del deepfake
Los autores de amenazas se centran en las personas mediante el uso de «deepfakes» por varias razones. Algunos lo hacen con fines lucrativos, lo que suele ocurrir cuando las personas suplantadas respaldan estafas. Otra razón es, sencillamente, engañar al público mediante la difusión de declaraciones y respaldos falsos o exagerados.
Recorded Future ha constatado que el 26.8 % de los «deep fakes» dirigidos a figuras públicas durante el último año tenían como objetivo obtener beneficios económicos, mientras que se ha determinado que el 25.6 % de los incidentes tenían por objeto engañar al público mediante la difusión de declaraciones falsas.
Nuevas tácticas relacionadas con los «deepfakes»
Recorded Future identificó algunas tácticas emergentes a partir de su análisis:
- Aprovechar la participación de terceros anónimos como sujetos para ocultar sus actividades y evitar que sean detectadas
- Dirigirse a usuarios vulnerables fuera de las redes sociales mediante deepfakes
- Creación de superposiciones a partir de medios de comunicación y simulación de fuentes auténticas
- La creación de «deepfakes» de líderes extranjeros
- Hacerse pasar por familiares de figuras públicas para promocionar o desacreditar a líderes políticos
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los autores de amenazas crean cada vez más «deepfakes» y los utilizan en relación con acontecimientos de actualidad, como las elecciones. Es probable que esta tendencia continúe.
Se anima a las organizaciones a establecer estrategias sólidas de respuesta y mitigación (se abre en una nueva pestaña) para hacer frente a esta nueva amenaza. Saber cómo identificar y gestionar un «deepfake» resulta fundamental en esta nueva era de desinformación generada por IA (se abre en una nueva pestaña).
Recorded Future ofrece unos excelentes consejos para mitigar los deepfakes en (se abre en una nueva pestaña), entre los que se incluyen algunas preguntas que puede plantear para ayudar a identificarlos.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « »: (se abre en una nueva pestaña),y .
