En el informe de esta semana: APT29 campañas respaldadas por Rusia están utilizando actualmente servicios populares de almacenamiento en la nube, como Google Drive y Dropbox, para eludir la detección y distribuir malware. Además, el nuevo malware CloudMensis tiene como objetivo a los usuarios de macOS y a servicios de confianza en la nube para llevar a cabo ataques de comando y control (C2) y exfiltración de datos. Asimismo, explicamos el nuevo malware para Linux «Lightning Framework», que cuenta con numerosas funciones que le permiten instalar puertas traseras en los dispositivos e implementar rootkits.
1. Los hackers del grupo «Russian APT29 » utilizan Google Drive y Dropbox para eludir la detección
Según la Unidad 42, el grupo de amenazas persistentes avanzadas (APT) respaldado por Rusia, conocido principalmente como APT29 (se abre en una nueva pestaña) (también conocido como Nobelium o Cozy Bear), está utilizando actualmente servicios en la nube legítimos y de confianza, como Google Drive y Dropbox, para eludir la detección, sustraer datos y distribuir malware y herramientas de piratería informática.
Los investigadores de la Unidad 42’s afirman que el uso de este tipo de servicios en la nube (se abre en una nueva pestaña) con fines de C2, almacenamiento y distribución de malware no es algo totalmente nuevo para este grupo. El carácter generalizado y la confianza implícita que acompañan a estos servicios hacen que su inclusión en las operaciones « APT29’s » resulte comprensible, pero también preocupante.
Acerca de APT29
El grupo APT29 es conocido sobre todo por su participación en el ataque informático contra el Comité Nacional Demócrata de EE. UU. (DNC) en 2016 y por el papel fundamental que se cree que desempeñó en el catastrófico ataque de tipo « » a la cadena de suministro de SolarWinds en 2020 (se abre en una nueva pestaña). Se considera, con un alto grado de certeza, que el grupo APT29 opera a instancias del Servicio de Inteligencia Exterior de Rusia (SVR). La motivación de este actor es principalmente el espionaje, y se le atribuyen sofisticadas y eficaces campañas de spear-phishing dirigidas a entidades gubernamentales, militares y diplomáticas que parecen estar en consonancia con los intereses estatales y geopolíticos del Gobierno ruso.
Analizamos en profundidad los detalles técnicos de las recientes campañas llevadas a cabo por Cloaked Ursa (también conocido como n.º APT29), que, según se cree, han tenido como objetivo varias misiones diplomáticas occidentales entre mayo y June 2022. bit.ly/3IPmqPv
Detalles de la campaña
APT29’s use of popular global online storage services was first observed in attacks targeting Western diplomatic missions and foreign embassies worldwide (opens in a new tab) from early May through June 2022.
Highly convincing spear phishing attacks are APT29’s favored method of achieving initial access, and this campaign appears to be no exception. Por lo general, los ataques comienzan cuando el autor envía correos electrónicos de phishing a personas de embajadas extranjeras, haciéndolos pasar por invitaciones a reuniones con embajadores. Los correos electrónicos incluyen archivos PDF maliciosos, que contienen las supuestas agendas de las reuniones, los cuales redirigen a una cuenta de Dropbox controlada por los atacantes y descargan una carga útil de Cobalt Strike en el dispositivo de la víctima.
Según un artículo reciente de ZDNet sobre el creciente uso de servicios en la nube de confianza por parte de los piratas informáticos (se abre en una nueva pestaña) con diversos fines maliciosos, estos intentos iniciales no tuvieron éxito, algo que, según el autor del artículo, los investigadores atribuyen a las políticas restrictivas de las redes corporativas, que impiden el uso de determinados servicios de terceros. En este mismo artículo se afirma que los atacantes se adaptaron rápidamente; enviaron correos electrónicos de phishing similares como segundo señuelo, pero esta vez utilizando cuentas de Google Drive para ocultar sus acciones e introducir Cobalt Strike y otras cargas maliciosas en los entornos de los objetivos. Esta segunda oleada de huelgas parece haber tenido un mayor éxito, probablemente debido al uso generalizado de las aplicaciones de Google en los lugares de trabajo para facilitar las operaciones diarias.
Al igual que muchas otras campañas de esta índole, el objetivo final de la APT29’s es distribuir malware adicional, como , EnvyScout, (se abre en una nueva pestaña),y , con el fin de que sirva como puerta trasera para acceder a redes que contengan información confidencial, o para su posible uso en futuros ataques.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque el uso de estos dos servicios específicos de almacenamiento en la nube para distribuir malware y ocultar su implementación pueda ser, desde el punto de vista técnico, una nueva táctica para el grupo APT29, informes anteriores indican que este grupo ya ha experimentado anteriormente con el uso de este tipo de servicios legítimos con otros fines.» Si los ataques siguen teniendo éxito, es probable que APT29 continúe recurriendo a dichos métodos. Y, si damos por bueno un estudio reciente del Ponemon Institute, estos APT29’s ataques se producen en un momento en el que el 60 % de los responsables de TI y seguridad no confían en su capacidad para garantizar la seguridad de los entornos en la nube (se abre en una nueva pestaña).
Además, la actividad de este grupo no solo es indicativa del aumento de las operaciones de piratería informática vinculadas a Rusia que se han observado a raíz de la agitación geopolítica en Europa del Este (se abre en una nueva pestaña) , sino que estas campañas también sirven para recordar la gran capacidad de adaptación y sofisticación de APT29’s .
La Unidad 42 anima a todas las organizaciones a que «revisen sus políticas de correo electrónico y los IOC que figuran en este informe para hacer frente a esta amenaza». CTI está de acuerdo y ha adoptado un enfoque proactivo en materia de inteligencia ante cualquier posible repercusión derivada de ciberataques patrocinados por el Estado (que organismos como , CISA (se abre en una nueva pestaña) han advertido en repetidas ocasiones que podrían adoptar la forma de ataques con malware destructivo que afecten a entidades occidentales) procedentes de actores maliciosos rusos».
2. Unos expertos descubren un nuevo programa espía, denominado CloudMensis, dirigido a los usuarios de macOS de Apple
Un informe reciente de WeLiveSecurity detalla el descubrimiento de una puerta trasera para macOS, denominada « », hasta ahora desconocida: (se abre en una nueva pestaña) , que espía a los usuarios de los dispositivos afectados.
Aprovechando una metodología similar a la del caso anterior, el malware, denominado CloudMensis, utiliza exclusivamente servicios de almacenamiento en la nube pública, como pCloud, Yandex Disk y Dropbox, para recibir órdenes de los atacantes y sustraer archivos.
CloudMensis: Una visión general
Este malware, que se detectó por primera vez a principios de 2022, permite a los operadores recabar información de los dispositivos macOS de las víctimas mediante la sustracción de documentos, el registro de pulsaciones de teclas y la realización de capturas de pantalla. Una vez que se consigue la ejecución de código y los privilegios administrativos, se pone en marcha un proceso en dos fases: en la primera fase se descarga y se ejecuta la segunda fase. Por el momento, los investigadores no pueden determinar cuál fue el vector de infección inicial de los ataques.
El malware de primera fase descarga e instala el malware de segunda fase como un demonio a nivel de sistema (un programa informático que se ejecuta como proceso en segundo plano, en lugar de estar bajo el control directo de un usuario). En esta fase, los atacantes ya han obtenido privilegios de administrador, ya que ambos directorios en los que se observa que se están escribiendo archivos en el disco solo pueden ser modificados por el usuario root.
La segunda fase del malware es un componente de mayor envergadura que contiene varias funciones diseñadas para recopilar información de los dispositivos afectados. El objetivo de esta fase es extraer los documentos capturados, las capturas de pantalla, los archivos adjuntos de correo electrónico, etc. CloudMensis utiliza el almacenamiento en la nube tanto para recibir órdenes de sus operadores como para extraer archivos. Actualmente, el malware es compatible con tres proveedores: pCloud, Yandex y Dropbox.
Nuevo malware «CloudMensis» utilizado para espiar ordenadores Mac en ataques selectivos - @serghei bleepingcomputer.com/news/security/…
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Los investigadores señalan que la “calidad general del código y la falta de ofuscación indican que es posible que los autores no estén muy familiarizados con el desarrollo para Mac y que no tengan un nivel muy avanzado”.» Aunque la calidad del código pueda ser deficiente, no se debe pasar por alto CloudMensis. De hecho, dado que el malware utiliza servicios de almacenamiento público de confianza para recibir órdenes de los atacantes y extraer archivos (una tendencia cada vez más frecuente tanto entre los ciberdelincuentes avanzados como entre las APT), sería prudente que siguiéramos de cerca a CloudMensis y sus novedades».
3. Un nuevo malware para Linux basado en «Lightning Framework» instala rootkits y puertas traseras
CTI está realizando un seguimiento activo del recién aparecido «Lightning Framework (se abre en una nueva pestaña)», un nuevo y peligroso tipo de malware dirigido a los sistemas Linux.
Según el blog de investigación sobre amenazas Intezer, este malware, similar a una «navaja suiza», puede utilizarse para crear una puerta trasera en los dispositivos infectados (se abre en una nueva pestaña) e instalar múltiples tipos de rootkits.
Lightning Framework consta de un programa de descarga y un módulo principal, y cuenta con varios complementos disponibles, muchos de los cuales son herramientas de código abierto. Además, este marco recurre ampliamente al «typo-squatting» y al «masquerading» para pasar desapercibido.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Lightning Framework es la última familia de malware para Linux que ha salido a la luz en los últimos meses, tras la aparición de BPFDoor (se abre en una nueva pestaña), Symbiote (se abre en una nueva pestaña), Syslogk (se abre en una nueva pestaña), y OrBit (se abre en una nueva pestaña) (sobre todas ellas ha informado CTI de una forma u otra).» Si esto no demuestra lo interesados que están los autores de amenazas en atacar entornos Linux, no sé qué otra cosa podría demostrarlo. Lightning Framework cuenta con un número increíble de funciones en comparación con la mayoría de los programas maliciosos para Linux detectados anteriormente. El hecho de que este malware cuente con tal abundancia de funciones en una fase tan temprana de su desarrollo convierte a Lightning Framework en un elemento de gran interés.
Los investigadores de Intezer señalaron que no se pudieron localizar varios archivos de Lightning Framework para su análisis. «CTI seguirá de cerca el desarrollo de Lightning Framework y ofrecerá información actualizada a medida que se conozcan más detalles».
Detenga los ataques desde el principio con Tanium
Es necesario detectar y eliminar rápidamente las amenazas emergentes, como Lightning Framework, antes de que puedan causar daños a su organización.
Para ayudarle, le ofrecemos una potente solución de detección proactiva de amenazas que proporciona informes rápidos y precisos sobre las mismas. Para descubrir cómo Tanium Threat Hunting puede ayudarle a mantener la seguridad de su organización, visite o vea esta demostración en (se abre en una nueva pestaña).
