En el informe de inteligencia de esta semana, el FBI y los responsables de la MI5 advierten de la enorme amenaza que supone el afán de China por convertirse en una potencia dominante en el ciberespacio. Asimismo, explicamos cómo los actores maliciosos están haciendo un uso indebido de una nueva herramienta de «red teaming» en entornos reales, y destacamos un nuevo tipo de ataque basado en la cadena de suministro que aprovecha paquetes NPM maliciosos para recopilar datos confidenciales de aplicaciones y sitios web.
Siga leyendo para conocer las últimas novedades sobre estas noticias en desarrollo.
1. El FBI y los responsables de la MI5 advierten de una amenaza masiva por parte de China
En una rueda de prensa conjunta sin precedentes organizada por « » (se abre en una nueva pestaña) , celebrada ante una audiencia de líderes académicos y empresariales en July 6, el director del servicio de inteligencia británico MI5, el general Ken McCallum, y el director del FBI, Chris Wray, advirtieron de manera contundente sobre la creciente amenaza que supone el Partido Comunista Chino (PCCh) para los intereses nacionales tanto del Reino Unido como de Estados Unidos.
Según McCallum, el Partido Comunista de China y el Gobierno que este controla llevan años intentando sustraer conocimientos especializados, tecnología, investigación y cualquier otro tipo de propiedad intelectual (PI) occidental de primer orden a nivel mundial que pueda proporcionar una ventaja comercial y reforzar la posición de China en la escena internacional.
Resumen de la amenaza: Análisis detallado de las tácticas de campaña de China
En la sesión informativa se explicó con detalle cómo las campañas de robo de propiedad intelectual llevadas a cabo por China adoptan diversas formas. Entre los ejemplos más habituales se encuentran los espías chinos que operan de forma encubierta en territorio occidental, las fusiones y adquisiciones (M&A) y las transferencias de tecnología que llevan la tecnología occidental a las empresas chinas, así como la captación de contactos locales que, a menudo, desconocen que sus acciones contribuyen a promover los intereses estatales de China.
Además, en lo que respecta a las operaciones cibernéticas ofensivas de China, una amplia gama de objetivos gubernamentales y comerciales occidentales ha sido objeto de ataques constantes por parte de grupos de amenazas persistentes avanzadas (APT) respaldados por China y afiliados al Ministerio de Seguridad del Estado (MSS) y al Ejército Popular de Liberación (EPL). Estas unidades de piratería informática profesional (se abre en una nueva pestaña) contribuyen a llevar a cabo la estrategia estatal integral de China (se abre en una nueva pestaña) para convertirse en la única superpotencia mundial por cualquier medio necesario, lo que, si todo sale según lo previsto, también dará lugar a que China se erija como la superpotencia cibernética dominante a nivel mundial (se abre en una nueva pestaña).
Quizá aún más preocupante —dependiendo de hasta qué punto se defienda la Primera Enmienda— es que Wray argumentara durante el discurso conjunto que Pekín no solo está intentando sustraer secretos comerciales e investigaciones académicas de Occidente, sino que también pretende influir en su política y llevar a cabo vigilancia técnica contra activistas en EE. UU. que se pronuncian en contra del Gobierno chino.
Una mala semana para el PCCh
La declaración conjunta se produce tras lo que bien podría ser el mayor robo de datos de la historia, que tuvo lugar cuando un actor malintencionado en el ámbito cibernético supuestamente sustrajo una enorme cantidad de información personal de una base de datos de la policía de Shanghái (se abre en una nueva pestaña). La semana pasada, un hacker conocido en Internet con el nombre de usuario ChinaDan (se abre en una nueva pestaña) comunicó a los miembros del foro de hackers Breach Forums que había obtenido 23 terabytes de datos sobre mil millones de ciudadanos chinos.
BleepingComputer (se abre en una nueva pestaña) incluyó una imagen de la publicación del foro en la que se explicaba el contenido de los datos robados. El presunto atacante afirmó que las bases de datos contienen información sobre mil millones de ciudadanos chinos residentes, así como varios miles de millones de expedientes policiales. Estos datos incluyen información personal, como nombres, direcciones, lugares de nacimiento, números de identificación nacional, números de teléfono móvil y todos los detalles de los delitos o casos relacionados con ciudadanos chinos que han tenido contacto con la policía. Según se informa, los censores del Gobierno chino están trabajando sin descanso para poner freno a la inquietante noticia de que los datos que han ido recopilando de forma constante de sus propios ciudadanos a lo largo de los años parecen estar a la venta y se están vendiendo por la suma relativamente insignificante de aproximadamente 200,000 dólares estadounidenses.
Según un artículo de Gizmodo que aborda los intentos de China por acallar cualquier debate sobre la filtración de datos, los esfuerzos de Reuters por localizar a las personas incluidas en la base de datos tuvieron éxito, y los encuestados confirmaron que los datos contenidos en la información sustraída solo podían proceder de la policía y que reflejan, principalmente, los esfuerzos policiales para respaldar el estado de vigilancia generalizado del país. (se abre en una nueva pestaña)
Un hacker afirma haber robado datos de 1.000 millones de ciudadanos chinos - @serghei bleepingcomputer.com/news/security/…
El Gobierno chino no ha hecho ninguna mención oficial al ataque informático ante la prensa, en público ni en Internet. Irónicamente, la noticia del ataque informático y los posteriores intentos de Pekín por censurar el debate público al respecto se producen en un momento en el que el Gobierno chino se ha comprometido públicamente a mejorar la protección de la privacidad de los datos de los usuarios en Internet, y espera que sus gigantes tecnológicos adopten medidas para garantizar un almacenamiento de datos más seguro.
Conclusiones clave
Al término de la intervención conjunta de la MI5 y el FBI, Wray instó a los líderes empresariales y a otras partes interesadas a colaborar con los servicios de inteligencia cuando se produzcan incidentes.
«Nuestro equipo se apresurará a facilitarle los detalles técnicos que le ayudarán a mitigar los efectos de un ataque». «Juntos, también podemos llevar a cabo operaciones conjuntas y secuenciadas que frusten los ciberataques del Gobierno chino», afirma Wray, y añade: «También podemos ayudarle a determinar si el problema cibernético con el que se ha encontrado forma parte, en realidad, de una operación de inteligencia más amplia, si los piratas informáticos que detecta podrían estar colaborando con personas de dentro de la empresa o actuando en connivencia con otras amenazas corporativas que usted no percibe».
McCallum también defendió la colaboración, argumentando que la mejor manera de hacer frente al enfoque de espionaje e influencia encubierta que adopta China, en el que participa todo el Estado, es «forjando alianzas de confianza —entre nuestros sistemas nacionales y, tal y como se ha simbolizado hoy, a nivel internacional—».
En una declaración que se aplica por igual a los intereses tanto de EE. UU. como del Reino Unido, instó a las organizaciones locales a ponerse en contacto de forma proactiva con las respectivas agencias de ciberseguridad de sus países, en lugar de esperar a que se produzca un incidente.
«En estos momentos se están produciendo actividades hostiles en territorio del Reino Unido [y de EE. UU.]», afirmó McCallum. «No necesitamos construir muros para aislarnos del resto del mundo. «Es necesario que desarrollemos nuestra conciencia y tomemos decisiones conscientes para fortalecer nuestra resiliencia».
Dirigiéndose a los asistentes, los representantes coincidieron en destacar que «ustedes —los innovadores y tecnólogos del Reino Unido [y de EE. UU.], nuestros investigadores y científicos, nuestros empresarios— constituyen una de las mayores fortalezas del Reino Unido [y de EE. UU.]». Por eso se le ha convertido en objetivo. «No permitamos que su éxito se convierta en una ventaja competitiva para China».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Varios expertos en seguridad han pronosticado un aumento significativo de la actividad cibernética respaldada por China y dirigida contra Estados Unidos y sus aliados occidentales». El hecho de que la MI5 y el FBI hayan unido fuerzas para manifestarlo públicamente mediante un comunicado conjunto sin precedentes da aún más credibilidad a esta teoría. CTI seguirá de cerca la actividad de diversos grupos de amenazas persistentes (APT) vinculados a China; esta labor incluye la creación y actualización periódica de perfiles de actores maliciosos que contengan información útil sobre aquellos actores maliciosos chinos que consideramos que suponen el mayor riesgo para Tanium y sus clientes y socios.
En cuanto al intento de China de ocultar lo que podría acabar siendo la mayor filtración de datos de la historia, pues bien, en agosto de 2021, la Asamblea Popular Nacional de China aprobó una ley destinada a proteger la privacidad de los datos de los usuarios en Internet y puso en práctica dicha normativa en noviembre de ese mismo año. La Ley de Protección de Datos Personales (PIPL) prevé multas de hasta unos 7.7 millones de dólares o el 5 % de la facturación anual para quienes incumplan la normativa. Aunque desde fuera pudiera parecer una victoria para la libertad en Internet, la aprobación de la ley fue considerada por la mayoría como la culminación de otro pilar más que respalda los esfuerzos del país por endurecer la normativa en el ciberespacio e imponer más requisitos de cumplimiento a las empresas chinas.
El mes pasado, la CISA publicó una alerta en la que se detallaban las tácticas, técnicas y procedimientos (TTP) habituales, así como las vulnerabilidades conocidas, a las que se dirigen los actores maliciosos respaldados por China; es probable que dicha alerta se publicara como respuesta —y en previsión— del aumento de la actividad cibernética china dirigida contra entidades occidentales.
2. La herramienta de simulacros de ataques, Brute Ratel C4, está siendo objeto de uso indebido por parte de actores malintencionados
En una reciente entrada del blog de investigación sobre seguridad de la Unidad 42 de Palo Alto se describe en detalle Brute Ratel C4 (se abre en una nueva pestaña), una herramienta de «red teaming» que los actores maliciosos están utilizando actualmente para lanzar ataques. Los investigadores analizaron una muestra subida a VirusTotal que recibió un veredicto de «inofensiva» por parte de los 56 proveedores que la evaluaron.
📢 « » de Palo Alto @Unit42_Intel ha publicado un informe sobre Brute Ratel C42. Esta sofisticada herramienta de «equipo rojo» se ha desarrollado para eludir #endpoint la detección, así como #antivirus las capacidades de detección. Proteja su red y consulte unit42.paloaltonetworks.com/brute-ratel-c4…. #Ciberseguridad #GestiónDeVulnerabilidades #BRc4 #IOC
¿Qué es Brute Ratel C4?
Brute Ratel C4 es una herramienta para pruebas de penetración y simulacros de ataque que salió al mercado en December 2020. Es similar en su naturaleza a Cobalt Strike, otra herramienta de simulacros de ataque que se ha convertido en un elemento básico y fiable en el arsenal de una amplia variedad de actores maliciosos y ciberdelincuentes.
La herramienta se presenta como un centro de mando y control personalizado para operaciones de simulación de equipos rojos y de adversarios, y cuenta actualmente con más de 350 clientes. Esta herramienta permite a una organización simular un ciberataque y comprobar la eficacia de sus controles de seguridad.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El uso de herramientas de pruebas de penetración por parte de los autores de amenazas no es un fenómeno nuevo. Los autores de amenazas llevan años aprovechando herramientas de pruebas de penetración como Burp Suite, Cobalt Strike y Metasploit.
Estas herramientas son un arma de doble filo, ya que pueden resultar increíblemente valiosas para las organizaciones que desean poner a prueba los controles de seguridad de su entorno, pero, al mismo tiempo, pueden servir como herramienta ya preparada cuando los autores de amenazas las utilizan con fines maliciosos. El hecho de que estas herramientas suelen ser fáciles de usar y presenten un bajo umbral de acceso no hace sino agravar esta situación, ya que hace que herramientas como Brute Ratel C4 sean accesibles para un abanico aún más amplio de ciberdelincuentes, independientemente de su nivel de sofisticación técnica.
Puede resultar difícil detectar a un actor malintencionado que utilice este tipo de herramientas, ya que su actividad puede quedar enmascarada por las pruebas legítimas que realiza un «equipo rojo» en el entorno. Esto pone de relieve la necesidad de que las organizaciones detecten y supervisen el uso de herramientas de pruebas de penetración en su entorno y garanticen el origen y la legitimidad de cada herramienta que se utilice.
También cabe destacar que se ha observado que los autores de amenazas utilizan archivos LNK para descargar Brute Ratel C4. «El uso indebido de los archivos LNK por parte de los ciberdelincuentes se ha convertido en una tendencia en los últimos tiempos, y estos archivos se están asociando rápidamente con amenazas importantes».
3. Un ataque a la cadena de suministro de software NPM sustrae datos de aplicaciones y sitios web
Investigadores de ReversingLabs han descubierto una campaña generalizada destinada a instalar módulos NPM maliciosos (se abre en una nueva pestaña) que recopilan datos confidenciales de formularios en aplicaciones móviles y sitios web. Este ataque coordinado se conoce como IconBurst.
Detalles de la campaña
IconBurst contiene aproximadamente dos docenas de paquetes NPM maliciosos que incluyen código JavaScript ofuscado con código malicioso diseñado para recopilar datos confidenciales de los usuarios a través de formularios integrados en aplicaciones móviles y sitios web.
Según ReversingLabs, los paquetes datan de hace al menos seis meses. ReversingLabs también afirma disponer de pruebas de un ataque coordinado a la cadena de suministro en el que se han identificado numerosos paquetes NPM que contienen scripts de jQuery capaces de sustraer datos de las aplicaciones que los utilizan.
Los ataques maliciosos de la campaña IconBurst se basan en una estrategia denominada «typo-squatting», similar a la empleada en los ataques de confusión de dependencias de , descubiertos recientemente (y que, en última instancia, resultaron inofensivos, ya que se comprobó que eran obra de un probador de seguridad demasiado entusiasta): (se abre en una nueva pestaña) (sobre los que también informó ReversingLabs), que parecían estar dirigidos a organizaciones alemanas.
Mediante el «typo-squatting», los atacantes distribuyen paquetes maliciosos asignándoles nombres que, a simple vista, parecen corresponder a paquetes legítimos. Para ello, recurren a errores ortográficos habituales o a palabras similares que engañan a los usuarios menos atentos para que utilicen los paquetes falsificados. Por ejemplo, en un caso observado por ReversingLabs, los datos sustraídos por «icon-package» se enviaron a un dominio denominado ionicio[.]com, una página falsa diseñada para parecerse al sitio web legítimo ionic[.]io.
Según ReversingLabs, los atacantes «se hicieron pasar por módulos NPM muy utilizados, como umbrellajs, y por paquetes publicados por ionic.io». «Sin embargo, son los usuarios finales del software (y sus datos), y no las empresas de desarrollo, quienes constituyen los verdaderos objetivos».
Impacto/alcance
Los paquetes en cuestión, la mayoría de los cuales se han publicado en los últimos meses, se han descargado en total más de 27,000 veces hasta la fecha. Lo que es peor, la mayoría de los módulos siguen estando disponibles para su descarga en el repositorio de iconic.io.
Aunque aún se desconoce el alcance total de este ataque, es probable que los paquetes maliciosos descubiertos por los investigadores de ReversingLabs sean utilizados por cientos, si no miles, de aplicaciones móviles y de escritorio, así como de sitios web, que se basan en ellos. En un caso concreto, un paquete malicioso se había descargado más de 17,000 veces.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque este descubrimiento es sin duda preocupante, no olvidemos que ReversingLabs ya ha incurrido anteriormente en la falta de «precipitarse» a la hora de informar sobre presuntas actividades maliciosas, antes de tener la certeza de su origen (véase la campaña alemana mencionada anteriormente).» Teniendo esto en cuenta, recomendamos a los lectores que, por el momento, consideren esta fuente de información con un grado de confianza medio, tal y como hacemos nosotros. Dicho esto, las pruebas de «typo-squatting» y ofuscación de código presentadas en sus conclusiones parecen bastante irrefutables.
Además, los autores del malware responsables de la campaña han modificado desde entonces su metodología para maximizar los beneficios, recabando información de todos los elementos de formulario de cada aplicación y página web maliciosas, lo que indica un enfoque cada vez más agresivo en la recopilación de datos, o bien que uno o varios atacantes intentan maximizar los beneficios antes de que la divulgación pública de su campaña eche por tierra su operación. También resulta preocupante el aparente éxito del ataque y el número de descargas que ha generado, ya que pone de manifiesto tanto la tendencia de los desarrolladores a confiar excesivamente en la legitimidad de los paquetes más populares, como la falta de barreras eficaces a la hora de impedir que código malicioso o vulnerable penetre en entornos sensibles de desarrollo y de tecnologías de la información».
¿Corre su empresa algún riesgo? Realice nuestra evaluación de riesgos y descúbralo
El panorama de las amenazas cibernéticas es amplio y está en constante evolución, y constantemente surgen nuevas amenazas. Sus dispositivos finales están expuestos a numerosas campañas y a diversos actores maliciosos. Y es solo cuestión de tiempo que los ciberdelincuentes burlen sus defensas y se cuelen en su red.
Aproveche esta oportunidad para comprobar el nivel de preparación de su organización en materia de ciberseguridad con nuestra evaluación de riesgos de Tanium. Obtenga hoy mismo su informe de riesgos gratuito. (se abre en una nueva pestaña)
