En primer lugar, en el informe de esta semana, se presenta un estudio de la firma de investigación Forrester, que expone cuán preparadas están las organizaciones para enfrentar el creciente riesgo de la cadena de suministro. A esto le sigue una exploración detallada de una reciente campaña de ciberespionaje atribuida a la APT de Earth Preta de China (también conocida como Mustang Panda), en la que se observó a los actores de amenazas entregando malware personalizado almacenado en cuentas de Google Drive y Dropbox a organizaciones gubernamentales, de investigación y académicas ubicadas principalmente en Asia. También se incluye una mirada oportuna de un nuevo y altamente sofisticado kit de phishing que imita convincentemente varias marcas minoristas grandes antes de la ajetreada temporada de compras navideñas.
1. A pesar de que las organizaciones reconocen la amenaza de la cadena de suministro, los expertos sugieren que los esfuerzos de gestión de riesgos de terceros no están a punto de frenar
Forrester informa a través de un estudio basado en encuestas que, a pesar de las llamadas de expertos de la industria para reforzar y optimizar las cadenas de suministro tras la pandemia de COVID-19, las empresas continúan aumentando su dependencia de servicios de terceros.
Ya sea que la fuerza impulsora detrás de este paradigma sea el deseo de las organizaciones de optimizar la productividad, seguir siendo competitivas o simplemente aumentar la agilidad comercial, la conclusión es que una mayor dependencia de terceros a menudo está acompañada por un nivel proporcional de riesgo cibernético , especialmente cuando una organización carece de un programa de gestión de riesgos de terceros maduro.
Aunque los encuestados apreciaron los beneficios comerciales asociados con los productos y servicios de terceros, no siempre han apreciado los riesgos asociados con terceros. Estos mismos encuestados admitieron que aún queda una cantidad considerable de trabajo por hacer para avanzar sus programas de gestión de riesgos de terceros a un nivel suficiente de madurez.
Los expertos parecen estar de acuerdo en que un grado aceptable de madurez del programa es el resultado de una combinación bien equilibrada de sofisticación técnica, agilidad y solidez.
Hallazgos clave de la encuesta de Forrester
- Una mejor toma de decisiones a través de los datos es una alta prioridad comercial para el 72 % de los encuestados.
- El 71 % dijo que adoptar los procesos comerciales digitales era una alta prioridad.
- Mejorar la respuesta organizacional a los cambios comerciales y del mercado era una alta prioridad para el 69 % de los encuestados.
- En el año anterior a la encuesta, el 40 % de los encuestados estimó que los niveles de riesgo asociados con sus cadenas de suministro aumentaron significativamente, y el 38 % de esos encuestados culparon a los niveles de riesgo más altos por una mayor dependencia de terceros.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Los resultados de la encuesta de Forrester hablan por sí mismos. No es necesario buscar lejos para encontrar una carga de camión de ejemplos de compromisos de alto perfil que, en última instancia, se remontan a la explotación de una vulnerabilidad en el sistema de un contratista, que se determinó que era el resultado de un compromiso de la cadena de suministro de un proveedor externo o que se vinculaba de alguna manera con la armamentización de paquetes de código o bibliotecas ocultas entre utilidades legítimas almacenadas en repositorios aprovechados diariamente por los desarrolladores. Como ejemplo, considere el descubrimiento reciente de docenas de paquetes PyPI que entregan W4SP malware de robo de información”.
2. Los hackers chinos utilizan Google Drive para eliminar malware en redes privadas
Un informe reciente de Trend Micro detalla una campaña de phishing selectivo a gran escala en la que se observaron hackers chinos respaldados por el estado entregando malware personalizado, almacenado en cuentas de Google Drive o Dropbox , a organizaciones gubernamentales, de investigación y académicas de todo el mundo para fines de espionaje.
Los ataques, que se informó que ocurrieron entre marzo y October 2022, se han vinculado al grupo de ciberespionaje rastreado como Earth Preta por Trend Micro, más comúnmente conocido como Mustang Panda (conocido como Bronze President o TA416). El perpetrador ha estado apuntando a entidades de todo el mundo desde al menos 2012, incluidas organizaciones gubernamentales, grupos de expertos, ONG y organizaciones católicas en el Vaticano.
Earth Preta, al igual que muchas APT de nexo con China, es un grupo de ciberespionaje conocido por desarrollar su propio malware personalizado e implementarlo en combinación con herramientas existentes como PlugX y Cobalt Strike. Earth Preta se ha ganado la reputación de sus esfuerzos continuos por actualizar su arsenal, y la actividad reciente del grupo parece respaldar esa evaluación.
Después de la infección inicial, los documentos confidenciales exfiltrados por Earth Preta de las redes objetivo pueden aprovecharse para ayudar a obtener la entrada inicial durante la próxima ola de intrusiones del grupo. Dicha metodología tiene el efecto combinado de ampliar significativamente el alcance de las campañas de ciberespionaje de Earth Preta mientras aumenta enormemente el tamaño de la superficie de ataque en la región objetivo.
Según los objetivos recientes de Earth Preta, los países asiáticos parecen ser el área de enfoque actual del grupo. Los investigadores de Trend Micro informan que, en su campaña más reciente, el grupo de amenazas se ha dirigido principalmente a organizaciones en Australia, Japón, Taiwán, Myanmar y Filipinas.
Esta evaluación se alinea con los informes de Cisco Talos, que enumeran al gobierno taiwanés, a los activistas en Hong Kong, a las ONG en Mongolia y el Tíbet, a Myanmar e incluso a las empresas de telecomunicaciones afganas e indias como objetivos que se presentan en la impresionante victimología de Earth Preta.
Detalles de la campaña Earth Preta
Trend Micro informa que durante la campaña generalizada de spear-phishing mencionada anteriormente, se observó que Earth Preta abusaba de cuentas falsas de Google para distribuir el malware a través de correos electrónicos de spear-phishing, inicialmente almacenados en un archivo de archivo (con extensiones como .rar,.zip y .jar) y distribuidos a través de enlaces de Google Drive. Los hackers enfocaron principalmente sus esfuerzos en organizaciones gubernamentales y legales, que comprenden el 84 % de la victimología de la campaña hasta la fecha.
También se observó Earth Preta utilizando una gama de técnicas para respaldar la evasión de la detección y el antianálisis, como la ofuscación de códigos y el uso de controladores de excepciones personalizados. Estas técnicas se aprovecharon en combinación con enlaces integrados que apuntan a las carpetas Google Drive o Dropbox. Ambas son plataformas legítimas y confiables utilizadas por una gran cantidad de organizaciones privadas y públicas en apoyo de las operaciones diarias, y su buena reputación ayuda a lograr el efecto previsto de los atacantes: hacer que el tráfico malicioso parezca inocuo.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Earth Preta cuenta con recursos adecuados, con acceso a las herramientas compartidas preferidas por las legiones de piratas informáticos respaldados por el estado de Pekín y la capacidad y la mano de obra para actualizar continuamente su arsenal y crear su propio malware personalizado. Las técnicas antianálisis y de evasión de defensa del grupo son indicativas de un fuerte enfoque en la seguridad operativa (OPSEC). Hasta cierto punto, se puede decir lo mismo para el uso de Earth Preta de al menos tres vectores de entrega de malware diferentes en una sola campaña de phishing selectivo. Proceda con precaución”.
3. El kit de phishing se hace pasar por marcas conocidas para dirigirse a los compradores estadounidenses durante las fiestas
Una investigación de seguridad reciente de Akamai reveló un nuevo y altamente sofisticado kit de phishing que imita varias marcas minoristas grandes y conocidas antes de la temporada navideña.
El kit utiliza una mezcla de ingeniería social, técnicas de evasión de detección múltiple y capacidades que permiten a los atacantes omitir las medidas de seguridad del control de acceso.
Descripción general de la campaña
Akamai descubrió una campaña de phishing en curso que ocurrió desde laSeptember 2022 mitad hasta October 2022 la presa de los compradores en línea que buscaban aprovechar las ofertas especiales de las fiestas. Esta campaña atrajo a las víctimas con la oportunidad de ganar un premio, solicitando detalles de tarjetas de crédito para “cubrir el costo del envío”.
El momento de la campaña, diseñado para coincidir con las ventas promocionales comunes que los minoristas electrónicos impulsan el Día del Trabajo y Halloween, sirve para aumentar su sentido de legitimidad y capitaliza el fervor comercial que tiende a agarrar a los estadounidenses en esta época del año. O, en pocas palabras, cínicamente, la campaña aprovecha a los usuarios jugando con el espíritu navideño e imitando implementaciones de marketing minorista legítimas. Los correos electrónicos de phishing son sofisticados cuando se trata de su apropiación de una marca auténtica, como puede ver en la siguiente muestra.
Técnicas de ingeniería social
Los correos electrónicos de phishing utilizados en esta campaña imitan una amplia gama de marcas. Una similitud entre muchos de los correos electrónicos era una usuaria falsa llamada Natalie Hamilton. Este usuario fue aprovechado en múltiples estafas dejando comentarios de revisión del premio para hacer que el premio parezca genuino. Esta técnica se utiliza para establecer confianza con el usuario y a continuación se pueden ver algunos ejemplos de ella.
Infraestructura de campaña
Akamai pudo identificar una cadena anidada de redireccionamientos, comenzando con el enlace inicial entregado a las víctimas en el correo electrónico de phishing. Este enlace eventualmente redirige a las víctimas a la página de inicio final de la estafa. El uso de una cadena anidada de redireccionamientos es lo que llevó a los investigadores de Akamai a caracterizar la campaña como “altamente sofisticada”.
Técnicas de evasión de detección
Esta campaña aprovecha algunas técnicas diferentes a medida que intenta evadir la detección:
Abuso de acortadores de dirección URL: Servicios de acortamiento de dirección URL como Bitly se han normalizado tanto, en gran parte debido a su uso generalizado en plataformas de medios sociales, que muchos clientes ya no piensan dos veces al hacer clic en una dirección URL acortada. Esto es exactamente lo que este kit de phishing pretende aprovechar y abusar. Este actor de amenazas ha creado perfiles de LinkedIn falsos para crear publicaciones que apuntan al destino malicioso, asignándoles las direcciones URL acortadas que se muestran en los correos electrónicos iniciales de phishing.
Explotar la reputación de los servicios web legítimos: Los actores de amenazas utilizan un proveedor de servicios legítimo para alojar su funcionalidad de redirección maliciosa. Al utilizar servicios como el almacenamiento en la nube de Google, el servicio de hosting de AWS y el almacenamiento de blob de Azure, el perpetrador aprovecha la buena fe con la que los usuarios ven las reputaciones de estos servicios. Esto aumenta las posibilidades de omitir los mecanismos antiphishing que pueden estar implementados.
Redirección de identificadores de fragmentos de dirección URL: El identificador de fragmentos de dirección URL es un hash mark del vínculo URI que dirige un navegador a un lugar específico en una página o sitio web. Esta técnica se utiliza comúnmente en un índice para crear una mejor experiencia del usuario. Sin embargo, en el contexto de una campaña de phishing, el hash puede ignorarse o pasarse por alto cuando se escanea mediante productos de seguridad. En esta campaña, el enlace original enviado a las víctimas contiene una marca hash seguida de un token. JavaScript utiliza posteriormente el token para reconstruir una URI a la que se redirigirá a la víctima. El uso de tokens también permite al adversario rastrear a las víctimas y buscar estadísticas sobre el compromiso de las posibles víctimas.
Direcciones URL generadas aleatoriamente: Una parte notable de esta campaña son sus intentos de filtrar a los visitantes no deseados a sus redireccionamientos, páginas de inicio y sitios de phishing especialmente diseñados. Para hacerlo, genera una dirección URL aleatoria que está vinculada a un usuario específico y se incluye como parte de la cadena de redireccionamientos. Después de aterrizar en el sitio web de phishing, cada dirección URL asignada solo puede ser utilizada por el usuario específico, lo que conduce a tasas de detección más bajas.
Poder de la CDN: Como sucede con los servicios de alojamiento web abusados, la página de inicio de la estafa utiliza algunos de los servicios que ofrece un vendedor de CDN, incluido el registro de dominios. El perpetrador utiliza un registro de dominios rápido y fácil para activar una instancia y luego rota el nombre del dominio de phishing sin necesidad de eliminar la infraestructura. También rota las direcciones IP asociadas con la CDN, eliminando la posibilidad de bloquear la actividad en función de la dirección IP.
Geoobjetivo: Los sitios web de aterrizaje parecen cambiar según la ubicación geográfica de la víctima, y algunas ubicaciones geográficas no están prohibidas en absoluto. La campaña rastreada por Akamai se dirigía principalmente a víctimas ubicadas en los Estados Unidos, y el 89 % de las víctimas observadas se encontraban en los Estados Unidos o Canadá. El mismo enlace de phishing inicial conduce a varios sitios web con personalización geográfica que enfatiza aún más la eficacia y la sofisticación de la campaña.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“La campaña observada por Akamai se alinea con las tendencias históricas de los actores de amenazas que aprovechan más a los consumidores durante la temporada de fiestas. Esta campaña probablemente sea solo el comienzo de este tipo de actividad a medida que pasamos a la temporada de fiestas. Esta historia es un recordatorio para que todos se mantengan alerta esta temporada de fiestas. Tenga mucho cuidado al abrir correos electrónicos promocionales, tarjetas electrónicas, confirmaciones de pedidos en línea, correos electrónicos de seguimiento de envíos, etc. Manténgase atento y esté atento a cualquier comunicación inesperada/no solicitada de los minoristas”.
Para obtener más información, póngase al día con nuestros recientes redondeos de inteligencia sobre amenazas cibernéticas.
