En primer lugar, en el resumen de esta semana, CTI ofrece una visión general del informe « 2023 Weak Password Report» de Specops, que pone de manifiesto, sobre todo, la necesidad de contar con un sistema de comprobación de contraseñas comprometidas que compare las contraseñas propuestas con una lista de contraseñas que se sabe que han sido objeto de filtraciones.
A continuación, CTI destaca un grupo de piratas informáticos recientemente identificado con vínculos con Corea del Norte (APT43), que, según Mandiant, se trata de un sofisticado grupo de ciberespionaje respaldado por un Estado que está alineando sus objetivos operativos con los del Gobierno de Corea del Norte.
Por último, CTI concluye con un análisis del nuevo kit de herramientas AlienFox que se distribuye a través de Telegram, el cual, además de poner de relieve la evolución de la actividad ciberdelictiva en la nube, se utiliza para obtener credenciales a partir de claves API y recopilar secretos de autenticación de servicios de correo electrónico basados en la nube.
Los errores en las contraseñas de los usuarios finales ponen en riesgo a las organizaciones
Specops ha publicado su informe «: 2023 contraseñas débiles» (se abre en una nueva pestaña), que contiene un análisis de más de 800 millones de contraseñas filtradas.
El informe detalla algunas de las malas prácticas en materia de contraseñas que a menudo ponen en riesgo a las empresas y analiza por qué las contraseñas siguen siendo uno de los eslabones más débiles de una red.
Principales conclusiones del informe de Specops
- Specops analizó más de 800 millones de contraseñas filtradas y las sometió a pruebas de conformidad con cinco normas reguladoras, entre las que se incluyen el NIST, HITRUST para la HIPAA, PCI, ICO para el RGPD y Cyber Essentials para el NCSC. La investigación de la empresa reveló que el 83 % de las contraseñas comprometidas (se abre en una nueva pestaña) seguirían cumpliendo los requisitos de complejidad y longitud de las contraseñas establecidos en estas normas.
- Specops examinó las contraseñas utilizadas para atacar puertos RDP en ataques reales y analizó un subconjunto de 4.6 millones de contraseñas. Más del 88 % de las contraseñas utilizadas en los ataques tenían 12 caracteres o menos, siendo la longitud más habitual de 8 caracteres. Las contraseñas que contenían únicamente letras minúsculas fueron la combinación de caracteres más habitual que se encontró.
- Los tres términos básicos más habituales que aparecen en las contrase es utilizadas para atacar redes (se abre en una nueva pestaña) son «password», «admin» y «welcome».
- Specops identificó varios temas y patrones durante su análisis de más de 800 millones de contraseñas filtradas. Las personas suelen inspirarse en los acontecimientos mundiales y en su entorno en general a la hora de crear sus contraseñas. Se trata de una tendencia de la que los piratas informáticos son conscientes y que aprovechan deliberadamente a la hora de elegir a sus víctimas.
- El fútbol es un lenguaje universal en todo el mundo, algo que, según han descubierto los investigadores, también se aplica al ámbito de las contraseñas. La «Copa del Mundo 2022 » llevó a los investigadores a descubrir varios términos relacionados con la Copa del Mundo en la base de datos de contraseñas filtrada. De hecho, «soccer» encabeza la lista de términos relacionados con más de 140k apariciones, mientras que «football» ocupa el segundo lugar. Los investigadores han identificado a numerosos jugadores actuales y retirados que encabezan la lista de contraseñas relacionadas con el Mundial.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«No es ningún secreto que unas prácticas inadecuadas en materia de contraseñas pueden hacer que usted y su organización sean vulnerables a los ciberataques». Un informe anterior de sobre gestores de contraseñas, (se abre en una nueva pestaña) , reveló que el 41 % de los estadounidenses confía en su memoria para recordar sus contraseñas, lo que indica que es probable que utilicen contraseñas sencillas o repetitivas que son fáciles de recordar.
«La longitud y la complejidad de las contraseñas, por sí solas, no son suficientes: existen numerosas normas de cumplimiento (como las del NIST) que establecen los estándares de ciberseguridad e incluyen las políticas de contraseñas de las organizaciones. Muchas de estas normativas hacen hincapié en los requisitos de longitud y complejidad a la hora de diseñar políticas de contraseñas; sin embargo, dada la sofisticación que están alcanzando los ataques en la actualidad, esto suele resultar insuficiente por sí solo».
«La conclusión de Specops de que el 83 % de las contraseñas comprometidas seguían cumpliendo muchos de los requisitos de complejidad y longitud establecidos en las normas reguladoras indica claramente que la longitud y la complejidad por sí solas no son suficientes». En otras palabras, una contraseña larga y compleja que cumpla con las normas reglamentarias no sirve de nada a la hora de mantener un alto nivel de seguridad si dicha contraseña figura en la lista de contraseñas comprometidas de un actor malintencionado.
«Estos datos ponen de manifiesto por qué algunas recomendaciones normativas incluyen ahora una comprobación de contraseñas comprometidas para reforzar la seguridad de las mismas. «En definitiva, mantener unas buenas prácticas en materia de contraseñas es más importante que nunca, y eso va más allá de limitarse a cumplir los requisitos de complejidad de las contraseñas establecidos por el sistema».
El grupo de piratas informáticos « APT43 », recientemente descubierto, ataca a organizaciones estadounidenses
Mandiant ha revelado por primera vez las actividades del grupo « APT43 » y considera que este sofisticado grupo de ciberespionaje es una entidad patrocinada por un Estado, cuyos objetivos operativos coinciden con los del Gobierno de Corea del Norte.
Además de dedicarse a actividades relacionadas con el espionaje, se cree que la unidad APT43 se financia mediante operaciones de ciberdelincuencia para respaldar su misión principal de recabar información estratégica.
Información general
- Las actividades no comunicadas por Mandiant y atribuidas a APT43 suelen referirse al grupo como «Kimsuky» o «Thallium».
- Las operaciones APT43’s suelen recurrir a campañas de spear-phishing respaldadas por dominios y direcciones de correo electrónico falsificados, como parte de sus tácticas de ingeniería social. Mandiant aún no ha observado que este grupo aproveche vulnerabilidades de día cero.
- Desde que Mandiant comenzó a realizar un seguimiento de « APT43», ha observado que el adversario lleva a cabo de forma constante actividades de espionaje contra organizaciones surcoreanas y estadounidenses.
- Antes de « October 2020», el APT43 se dirigía principalmente a oficinas gubernamentales, organizaciones diplomáticas y entidades relacionadas con los centros de estudios. Entre octubre de 2020 yOctober 2021, la actividad experimentó un cambio de rumbo, y una parte significativa de la misma se centró en los sectores relacionados con la salud y en las empresas farmacéuticas, probablemente como respuesta a la pandemia de la COVID-19.
- APT43 cuenta con un amplio conjunto de herramientas que incluye tanto malware de dominio público como herramientas personalizadas. Se ha observado que el arsenal del grupo ha ido evolucionando y ampliándose de forma constante con el paso del tiempo. El grupo ha utilizado malware de libre acceso, como Gh0st RAT, QUASARRAT y AMADEY, además de LATEOP (conocido públicamente como BabyShark), que es una puerta trasera basada en scripts de Visual Basic.
Operaciones cibernéticas para el curso APT43
APT43, al igual que muchos actores maliciosos, suele recurrir a los correos electrónicos de spear-phishing como vector de acceso inicial. Además, el grupo recurre al uso de sitios web falsos con el fin de obtener credenciales.
Además, APT43 actualiza periódicamente el contenido de sus mensajes de phishing, adaptándolo al público objetivo específico. Para ello, crea y mantiene perfiles ficticios convincentes y se hace pasar por personas de determinados sectores. APT43 también blanquea criptomonedas, cuyos beneficios sirven para ampliar la adquisición de la infraestructura operativa del grupo.
Espionaje
Aunque es cierto que la organización APT43 comete delitos por motivos económicos, su objetivo principal es el ciberespionaje. El grupo está interesado en la información elaborada y almacenada por las Fuerzas Armadas y el Gobierno de los Estados Unidos, la base industrial de defensa (DIB) y las políticas de investigación y seguridad elaboradas por los Estados Unidos. La empresa tiene interés en sectores similares en Corea del Sur.
Mandiant considera que el grupo APT «43 may » también podría estar llevando a cabo una vigilancia interna de otras operaciones norcoreanas. El grupo APT43 ha comprometido a agentes de espionaje individuales, incluidos algunos que forman parte de sus propias operaciones. No está claro si esta actividad tiene fines de vigilancia o si, por el contrario, se trata de algo accidental y es consecuencia de una seguridad operativa deficiente.
Recopilación de credenciales
APT43 lleva a cabo periódicamente campañas de recopilación de credenciales con el fin de acceder indebidamente a datos financieros, información de carácter personal y datos de clientes. El grupo registra dominios que aprovechan errores tipográficos de motores de búsqueda populares, plataformas web y plataformas de intercambio de criptomonedas. Las credenciales recopiladas se utilizan para crear identidades virtuales y establecer la infraestructura necesaria para sus operaciones. La operación ha aprovechado infraestructuras comprometidas y propiedad de los autores para alojar y distribuir su malware.
Los cambios en los objetivos del APT43’s pueden reflejar cambios tácticos en los requisitos de recopilación de información. Por ejemplo, a finales de 2021, APT43 reanudó sus campañas de recopilación de credenciales dirigidas contra grupos religiosos, universidades y ONG. Posteriormente, a principios de 2022, se observaron campañas dirigidas contra académicos, periodistas, políticos, blogueros y otras personas del sector privado. Por último, a mediados de 2022, las campañas volvieron a reorientarse para centrarse en blogueros surcoreanos y usuarios de redes sociales relacionados con asuntos surcoreanos.
Segmentación basada en criptomonedas
La operación se ha centrado en las criptomonedas desde su aparición. A diferencia de otros grupos norcoreanos, cuyo objetivo principal es recaudar fondos para el régimen, es probable que el grupo APT43 lleve a cabo sus actividades relacionadas con las criptomonedas para financiar sus propias operaciones.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Mandiant plantea una cuestión bastante interesante en relación con APT43’s operaciones aparentemente autofinanciadas y cómo esto podría ser indicativo de un mandato más amplio para los grupos norcoreanos:
La prevalencia de actividades con fines económicos entre los grupos norcoreanos, incluso entre aquellos que históricamente se han centrado en el ciberespionaje, sugiere que existe una exigencia generalizada de autofinanciarse y una expectativa de que se mantengan por sí mismos sin recursos adicionales.
"APT43’s continuous shifting of its methodology and tradecraft suggests it is highly responsive to the ever-changing landscape and to the goals of its espionage mission. «Esta organización es capaz de adaptar rápidamente sus tácticas, técnicas y procedimientos (TTP) para llevar a cabo lo que sea necesario con el fin de apoyar al régimen».
3. El nuevo kit de herramientas AlienFox roba credenciales de servicios en la nube
SentinelOne ha descubierto un nuevo conjunto de herramientas (se abre en una nueva pestaña) denominado AlienFox que se está distribuyendo a través de Telegram. AlienFox permite a los autores de amenazas obtener credenciales a partir de claves API y secretos de autenticación de populares servicios de correo electrónico basados en la nube.
- El conjunto de herramientas es modular y está compuesto por varias herramientas personalizadas y utilidades de código abierto modificadas, lo que permite al autor de la amenaza adaptarlo y modificarlo para que se ajuste a sus necesidades.
- Las acciones de AlienFox se centran principalmente en aprovechar oportunidades y se basan en errores de configuración en los servidores que alojan plataformas web, entre las que se incluyen Drupal, Joomla, Magento, OpenCart, PrestaShop y WordPress.
- Una vez identificado un servidor, el autor de la amenaza puede extraer los archivos de configuración que contienen información confidencial, como los servicios habilitados y las claves y secretos de API asociados.
Control de versiones de AlienFox
El conjunto de herramientas AlienFox se centra principalmente en los servicios de correo electrónico basados en la nube. Hasta el momento, los investigadores han identificado las versiones 2 a 4 de AlienFox, que datan a partir de February 2022 .
AlienFox V2
Uno de los archivos analizados de AlienFox V2 contiene los resultados de cuando un actor ejecutó las herramientas, incluidas las claves de acceso y las claves secretas de AWS. Esta versión del conjunto de herramientas incluye la utilidad principal en un script denominado s3lr[.]py. Un script de Python, Awses[.]py, automatiza varias tareas relacionadas con AWS Simple Email Service, entre las que se incluyen el envío y la recepción de mensajes, así como la aplicación de un perfil de persistencia a la cuenta de AWS. Con este script, el autor de la amenaza introduce el nombre de usuario en tiempo de ejecución, lo que implica que se trata de una herramienta que requiere la intervención manual del usuario.
Esta versión incluye una función llamada «goblok» (palabra que en indonesio significa «idiota») para crear un nuevo perfil con el fin de garantizar la persistencia y la escalada de privilegios. Esta función envía los valores de los parámetros a la variable «iam», donde se analizan. Esta acción crea un nuevo usuario en la cuenta de AWS de la víctima. Si la creación del nuevo usuario se realiza correctamente, se le otorgan privilegios de administrador a dicho usuario.
Otro script de V2 , ssh-smtp[.]py, analiza los archivos de configuración en busca de credenciales y utiliza la biblioteca Paramiko de Python para validar las configuraciones de SSH en el servidor web objetivo. Esta versión de AlienFox también incluye un exploit para « CVE-2022-31279», una vulnerabilidad de deserialización en el marco de trabajo PHP Laravel.
AlienFox V3
De las versiones detectadas por SentinelOne, los archivos más singulares se identificaron como la versión 3. Las siguientes variantes del nombre eran:
- ALIEN-FOX AFV 3.0 Esmirna – creado February 2022
- ALIENFOX III V3.0 AFV.EXE – creado February 2022
- ALIEN-FOX AFV 3.5 JAGAUR – creado April 2022
- ALIEN-FOX AFV 3.5 rondrickmadeit – creado February 2022
Esta versión ofrece un mejor rendimiento e incorpora variables de inicialización, clases de Python con funciones modulares y subprocesos.
AlienFox V4
El conjunto de herramientas observado más recientemente está organizado de forma muy diferente, ya que a cada herramienta se le ha asignado un número (es decir, herramienta 1, herramienta 2). El script principal del directorio raíz de AlienFox, denominado ALIENFOXV4[.]py, sirve como punto de partida para los scripts de herramientas numerados que se encuentran en las subcarpetas.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El conjunto de herramientas AlienFox pone de relieve la evolución de la actividad ciberdelictiva en la nube. Cabe destacar que los ataques ya no se limitan a la minería de criptomonedas. Dado que la mayoría de las herramientas del kit son de código abierto, los autores de amenazas cuentan con la ventaja añadida de poder adaptar el kit a sus necesidades particulares. SentinelOne ha descrito este conjunto de herramientas como altamente modular y en rápida evolución, lo que lo convierte en una amenaza cada vez más importante a medida que se le añaden nuevas funciones».
Si desea ampliar información, le invitamos a consultar nuestros últimos resúmenes de inteligencia sobre ciberamenazas de «».
