En el resumen de esta semana, CTI ofrece una visión general de la plataforma de phishing como servicio (PhaaS) Sniper Dz, incluyendo su infraestructura y sus tácticas. A continuación, CTI ofrece las conclusiones principales del «Informe 2024 sobre amenazas globales» de Elastic Security Labs. CTI también analiza datos recientes que indican que varias organizaciones de EE. UU. fueron objeto de ataques por parte del actor patrocinado por el Estado norcoreano conocido como Andariel (también denominado Stonefly).
Sniper Dz se centra en las redes sociales y los servicios en línea
Palo Alto ha estado realizando un seguimiento exhaustivo de (se abre en una nueva pestaña) , «Sniper Dz» , la plataforma de phishing como servicio (PhaaS) (se abre en una nueva pestaña) , y ha compartido su análisis de la infraestructura y las tácticas de dicha plataforma.
Según Palo Alto, Sniper Dz ataca plataformas populares de redes sociales y servicios en línea, y cuenta con al menos 140,000 sitios web de phishing asociados.
Un análisis detallado de la plataforma Sniper Dz
La plataforma Sniper Dz permite a los atacantes llevar a cabo ataques de phishing de tipo « » (se abre en una nueva pestaña) con facilidad, ya que su panel de administración les permite generar páginas de phishing rápidamente. Para acceder al panel de administración, los actores deben crear una cuenta con una dirección de correo electrónico. Con esta cuenta, pueden acceder a una serie de páginas de phishing dirigidas a diferentes marcas y usuarios.
Una vez que han conseguido acceder a la plataforma, los autores de las amenazas disponen de dos métodos para lanzar ataques:
- Páginas de phishing alojadas en la infraestructura de Sniper Dz
- Plantillas de phishing descargables alojadas en otra infraestructura
Páginas y plantillas de phishing de Sniper Dz
Con esta táctica, el autor no tiene que configurar un servidor web para alojar los sitios, y el contenido de las páginas de phishing queda oculto tras servidores proxy. Si, por el contrario, el actor utiliza las plantillas de phishing descargables en su infraestructura, dispone de numerosas opciones.
Infraestructura y tácticas
Sniper Dz oculta su contenido de phishing tras servidores proxy públicos. El servicio hace un uso indebido del servidor proxy público legítimo proxymesh[.]com.
El grupo configura el servidor proxy para que cargue automáticamente contenido de phishing sin necesidad de comunicación directa. De este modo, el grupo contribuye a proteger sus servidores de backend, ya que el navegador considerará que es el servidor proxy el responsable de cargar la página de phishing.
Además, el grupo enmascara el código de sus plantillas de phishing y exfiltra las credenciales a una infraestructura centralizada propiedad de Sniper Dz.
Seguimiento de víctimas y plantillas
Sniper Dz realiza un seguimiento de sus víctimas con la ayuda de código JavaScript personalizado integrado y servidores de análisis.
El script cargará un rastreador procedente de un servidor de análisis legítimo para realizar un seguimiento de las víctimas que visiten los enlaces alojados en su infraestructura y de aquellas que visiten enlaces alojados en otras infraestructuras.
Ataques conocidos en los que se utiliza Sniper Dz
Desde el 2023, Palo Alto ha detectado más de 140,000 páginas de phishing relacionadas con Sniper Dz.
El grupo se ha mantenido activo durante este tiempo, aunque parece que alcanzó su punto álgido hacia finales de 2023. Sniper Dz cuenta con miles de clientes y, a fecha de August 2024, tiene 7,156 suscriptores en su canal de Telegram.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La investigación de Palo Alto indica que muchos actores podrían aprovechar la plataforma Sniper Dz PhaaS en función de su número de suscriptores en Telegram y de su infraestructura.
Telegram ha actualizado recientemente su política de privacidad, en la que se indica que, a partir de ahora, facilitará los números de teléfono y las direcciones IP de los usuarios a las fuerzas del orden cuando así lo ordenen los tribunales. Este cambio de política podría incitar a los autores de amenazas a trasladar su actividad.
Dicho esto, será interesante ver si los servicios maliciosos que se comercializan en Telegram (se abre en una nueva pestaña), como Sniper Dz, seguirán prosperando en Telegram o en cualquier otro lugar.
Elastic Security Labs publica su «Informe 2024 sobre amenazas globales»
Elastic Security Labs ha publicado su Informe global sobre amenazas « » correspondiente al año 2024 (se abre en una nueva pestaña), que recoge las últimas amenazas a la ciberseguridad y las tendencias en materia de IA generativa (se abre en una nueva pestaña), malware, comportamientos de los terminales y seguridad en la nube.
IA generativa
Elastic ha observado que los autores de amenazas están utilizando la IA generativa de varias formas, siendo una de las más evidentes las campañas de phishing. Como era de esperar, los actores pueden utilizar la IA para ampliar sus operaciones y mejorar sus técnicas de ingeniería social (se abre en una nueva pestaña) personalizando sus campañas con mayor facilidad. Esta tendencia se ha acentuado con el auge actual de los «deepfakes» en (se abre en una nueva pestaña).
Además del phishing, los ciberdelincuentes están utilizando la inteligencia artificial para desarrollar malware. Esto aún no se ha generalizado, pero está ganando terreno poco a poco.
Detecciones de malware
El informe de Elastic también analiza los distintos tipos de malware que circulan en la red y los sistemas operativos a los que se dirigen. Windows sigue siendo el sistema operativo más atacado.
Analizaron las firmas de YARA correspondientes a los distintos tipos y categorías de malware para desglosar sus datos. Descubrieron que los troyanos constituían, con diferencia, la mayor parte del malware que observaron.
Por último, en lo que respecta a las familias de malware, las más destacadas fueron , Cobalt Strike (se abre en una nueva pestaña),, y Metasploit.
Comportamientos de los puntos finales
Elastic analizó las tácticas, técnicas y procedimientos (TTP) más habituales en Windows, macOS y Linux. La mayoría de los comportamientos de los puntos finales que observaron estaban relacionados con la evasión de las medidas de defensa, lo que supuso el 38.99 % del total de tácticas observadas, lo que representa un descenso del 6 % con respecto al año anterior. Las tácticas de «ejecución» y «persistencia» ocuparon los siguientes puestos, con un porcentaje combinado aproximado del 30 %.
Las técnicas más habituales en Windows eran la inyección de procesos, la ejecución de proxies de binarios del sistema y el debilitamiento de las defensas. En el caso de Linux, la técnica más utilizada fue el debilitamiento de las defensas, seguida de la modificación de los permisos de archivos y directorios.
Por último, la carga de código reflexivo fue la principal técnica de evasión de las medidas de seguridad en macOS, seguida de la subversión de los controles de confianza y la eliminación de indicadores.
Seguridad en la nube
Elastic ha constatado que las organizaciones siguen , configurando incorrectamente los entornos en la nube (se abre en una nueva pestaña) y/o no implementando las medidas de seguridad adecuadas, lo que permite a los actores maliciosos prosperar en dichos entornos.
Uno de los problemas más habituales que observaron estaba relacionado con el almacenamiento: el 47 % de los fallos de Azure estaban vinculados a cuentas de almacenamiento y aproximadamente el 30 % de los fallos de AWS procedían de S3 comprobaciones.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El informe de Elastic profundiza más que muchos otros informes sobre tendencias disponibles en el mercado, ya que desglosa la información por tácticas específicas.
Una de las conclusiones más interesantes fue el comentario de Elastic sobre el impacto —o la ausencia del mismo— de la inteligencia artificial:
Las capacidades de la inteligencia artificial no transformaron el panorama ni para bien ni para mal: no provocaron una proliferación de nuevas amenazas ni generaron una ventaja tal que permitiera eliminar todas las amenazas.
Este es un recordatorio importante: aunque se habla habitualmente de la IA « » (se abre en una nueva pestaña) y, aunque puede ofrecer ventajas a los autores de amenazas, todavía no estamos observando esta adopción explosiva de la IA en el panorama de las amenazas.
Andariel lanza ataques financieros contra organizaciones estadounidenses
Symantec ha revelado recientemente pruebas (se abre en una nueva pestaña) de que el grupo norcoreano Andariel ha atacado a varias organizaciones en Estados Unidos.
Según Symantec, el autor no logró instalar el ransomware (se abre en una nueva pestaña) en los equipos de estas víctimas. Estos ataques indican que este actor sigue llevando a cabo ataques, a pesar de que ha sido objeto de una reciente acusación formal.
¿Quién es Andariel?
El grupo Andariel está vinculado a la agencia de inteligencia militar de Corea del Norte, la Oficina General de Reconocimiento (RGB).
Este actor apareció por primera vez en 2009 cuando llevó a cabo ataques DDoS de tipo « » (se abre en una nueva pestaña) contra varios sitios web de Corea del Sur, del Gobierno de EE. UU. y del sector financiero.
Atribución
Symantec ha determinado que el grupo Andariel sigue llevando a cabo ataques con fines económicos, especialmente contra organizaciones estadounidenses.
En varios ataques, el autor utilizó su malware personalizado, Backdoor.Preft, que ya se había atribuido anteriormente a este grupo. Los ataques también dejaron varios indicadores de compromiso que Microsoft ya había identificado anteriormente en los ataques de Andariel.
En el caso « July 2024», el Departamento de Justicia de EE. UU. imputó a un ciudadano norcoreano por delitos relacionados con un reciente ataque de Andariel. Se acusa a esta persona de haber participado en la extorsión de hospitales estadounidenses y otras entidades entre 2021 y 2023 (se abre en una nueva pestaña), de blanquear los ingresos obtenidos de los rescates y de utilizar dichos ingresos para financiar otros ciberataques contra los sectores de la defensa, la tecnología y el gobierno a nivel mundial.
Entre los objetivos de estos ataques posteriores se encuentran dos bases de la Fuerza Aérea de los Estados Unidos y la Oficina del Inspector General de la NASA (NASA-OIG).
¿Qué herramientas utiliza Andariel?
Como se ha señalado, este actor suele utilizar un malware denominado «Preft», una puerta trasera de varias fases capaz de descargar archivos, subir archivos, ejecutar comandos y descargar complementos adicionales.
El actor también utiliza una puerta trasera adicional denominada «Nukebot», que cuenta con una funcionalidad similar, pero que, además, permite realizar capturas de pantalla. El código fuente de esta herramienta ya se había filtrado anteriormente, lo que probablemente sea la forma en que este actor consiguió acceder a ella.
También se ha observado que el autor utiliza herramientas más comunes, como archivos por lotes maliciosos, Mimikatz, keyloggers, Sliver, Chisel, PuTTY, Plink, Megatools, Snap2HTML y FRP.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como señala Symantec:
La acusación formal contra uno de sus miembros aún no ha dado lugar a la suspensión de sus actividades.
En todo caso, parece que la acusación ha animado al grupo a proseguir con sus actividades, especialmente contra Estados Unidos. Este grupo lleva más de una década en activo y ha sobrevivido a diversas formas de represión, por lo que es probable que sigamos viéndolo prosperar durante algún tiempo.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « »: (se abre en una nueva pestaña),y .
