El grupo de piratas informáticos APT29 continues , respaldado por el Estado ruso, está dando que hablar y causando quebraderos de cabeza. Esta semana, analizamos en profundidad la nueva capacidad de este actor malicioso tras el compromiso de sistemas, denominada «MagicWeb», que permite a APT29 suplantar la identidad de cualquier usuario dentro de una red comprometida. Asimismo, examinamos cómo APT29 está aprovechando los servicios de Azure Active Directory para piratear cuentas pertenecientes a organizaciones de EE. UU. y de países miembros de la OTAN. Además, ofrecemos información detallada sobre cómo los piratas informáticos están utilizando el kit de herramientas Sliver como alternativa a Cobalt Strike.
1. Microsoft detalla APT29’s técnicas para suplantar la identidad de cualquier persona tras un ataque
Un nuevo informe del Centro de Inteligencia sobre Amenazas de Microsoft (MSTIC) revela cómo el grupo ruso APT29 —también conocido como Nobelium y Cozy Bear—, dedicado a las amenazas persistentes avanzadas (APT) y respaldado por el Estado, ha sido pionero en el desarrollo de una herramienta de post-explotación de tipo « » denominada MagicWeb (se abre en una nueva pestaña), que permite a los atacantes autenticarse como cualquier usuario.
Microsoft ha descubierto una capacidad posterior a la intrusión a la que denominamos «MagicWeb», que el actor malicioso identificado como NOBELIUM está utilizando para mantener un acceso persistente a los entornos que ha comprometido. Aquí encontrará análisis técnicos detallados y consejos para la caza: msft.it/6016jeB4i
¿Quién es APT29?
Si es la primera vez que participa en el APT29, le informamos de que este grupo es muy activo, versátil y capaz de llevar a cabo varias campañas simultáneas. Entre las víctimas de este grupo se encuentran organizaciones gubernamentales, organizaciones no gubernamentales (ONG), organizaciones intergubernamentales (OIG) y centros de estudios con sede en Estados Unidos, Europa y Asia Central.
¿Qué es MagicWeb?
APT29 utiliza actualmente una funcionalidad posterior a la intrusión, denominada «MagicWeb», que permite al grupo mantener un acceso persistente a los entornos comprometidos y llevar a cabo movimientos laterales. MagicWeb consiste en un archivo DLL malicioso que permite la manipulación de los tokens generados por un servidor de Servicios Federados de Active Directory (AD FS). MagicWeb gestiona los certificados de autenticación de usuario necesarios para la autenticación, a diferencia de los certificados de firma.
Los investigadores de MSTIC estiman que MagicWeb se implementó muy probablemente en algún momento durante un ataque en curso y que APT29 lo utilizó para mantener el acceso durante «medidas de corrección estratégicas que pudieran evitar su expulsión».
El informe continúa afirmando que «...en September 2021, Microsoft reveló una capacidad de post-explotación denominada FoggyWeb (se abre en una nueva pestaña) con métodos e intenciones similares a los de MagicWeb». FoggyWeb era capaz de extraer la base de datos de configuración de los servidores AD FS comprometidos, descifrar los certificados de firma de tokens de (se abre en una nueva pestaña) y los certificados de descifrado de tokens de (se abre en una nueva pestaña), así como descargar y ejecutar componentes adicionales de malware. «MagicWeb va más allá de las capacidades de recopilación de FoggyWeb, ya que facilita el acceso encubierto de forma directa».
Opciones de mitigación para MagicWeb
APT29’s ability to deploy MagicWeb hinges entirely upon obtaining access to the highly privileged credentials with administrative access to AD FS servers. Por lo tanto, es fundamental considerar los sistemas AD FS como activos de primer nivel y de máxima importancia, y aplicarles las mismas medidas de protección que se aplicarían a los controladores de dominio u otros activos de su infraestructura tecnológica que se consideren críticos por su naturaleza.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Tal y como ha dejado claro MSTIC, MagicWeb, como capacidad, no es precisamente un terreno desconocido para el APT29 , ni tampoco lo es el uso indebido que hace el grupo de las identidades y el acceso mediante credenciales».
Teniendo en cuenta el alto nivel de sofisticación de APT29’s , su historial de ataques de gran repercusión, sus continuos avances en metodología y las incorporaciones a su arsenal de malware, resulta gratificante comprobar que MSTIC ha proporcionado algunas recomendaciones para la búsqueda de amenazas y consultas avanzadas de búsqueda hacia el final de su informe. Tanto el antivirus Defender de Microsoft como Defender for Endpoint detectan y avisan de esta amenaza, respectivamente».
2. Unos piratas informáticos rusos aprovechan los servicios de Azure para piratear cuentas de Microsoft 365 de EE. UU. y la OTAN
Según un informe reciente de la empresa de ciberseguridad Mandiant, se ha revelado que APT29 está atacando activamente cuentas de Microsoft 365 pertenecientes a organizaciones estadounidenses y afiliadas a la OTAN (se abre en una nueva pestaña) con el fin de sustraer datos confidenciales.
APT29’s La actividad reciente se caracteriza por campañas de espionaje que ponen de manifiesto un énfasis constante en la seguridad operativa (OPSEC) y tácticas avanzadas dirigidas contra Microsoft 365.
Mandiant destaca las siguientes APT29 TTP utilizadas en operaciones recientes:
- Desactivación de licencias: Microsoft 365 utiliza diversas licencias para regular el acceso de los usuarios a los servicios de su suite de productos. Estas mismas licencias suelen establecer parámetros de seguridad, como la conservación de registros y el registro de los accesos a los mensajes de correo electrónico.
La auditoría «Purview» habilita la auditoría «Mail Items Accessed», que registra la cadena de agente de usuario, la marca de tiempo, la dirección IP y el usuario cada vez que se accede a un mensaje de correo. La auditoría registra cualquier tipo de acceso al correo, ya sea a través de la API de Graph, Outlook, un navegador u otro método.
- Apropiación indebida de cuentas inactivas mediante la autenticación multifactorial (MFA): A pesar de las numerosas ventajas que ofrece la autenticación multifactorial (MFA), sigue siendo vulnerable a los ataques, y los autores de amenazas inventan constantemente nuevas formas de eludirla. Mandiant ya ha abordado anteriormente cómo los actores maliciosos se aprovechan de la autenticación multifactorial (MFA) basada en notificaciones push de (se abre en una nueva pestaña) para enviar notificaciones masivas a los usuarios hasta que, finalmente, estos acepten la solicitud y permitan el acceso al actor malicioso.
- Enfoque en la OPSEC: . Tal y como demuestra su última oleada de actividad, el APT29 sigue mostrando un compromiso significativo con la OPSEC y con las metodologías de seguridad y evasión.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Para quienes hemos dedicado la mayor parte de nuestra carrera profesional a observar la evolución de APT29’s , este actor malicioso ha sabido, sin lugar a dudas, sacar el máximo partido de su acceso a los recursos, la formación y las herramientas de que disponen los equipos de piratería informática patrocinados por el Estado ruso —en particular aquellos que mantienen vínculos indudables con el aparato de inteligencia estatal—. El grupo APT29 ha demostrado un firme compromiso con la mejora y el desarrollo continuos de sus técnicas operativas, especialmente en lo que se refiere al perfeccionamiento de la metodología utilizada por el grupo APT29 para mantener un grado significativo de seguridad operativa (OPSEC).
Se trata de un grupo que ha demostrado ser plenamente capaz de mantenerse al día con los avances tecnológicos y, tomando prestada una frase del apartado «Outlook» de Mandiant, el CTI «prevé plenamente que APT29 seguirá el ritmo del desarrollo de técnicas y tácticas para acceder a Microsoft 365 de formas novedosas y sigilosas».
3. Los piratas informáticos adoptan el kit de herramientas Sliver como alternativa a Cobalt Strike
Una entrada del blog de Microsoft August 24 (se abre en una nueva pestaña)informa de que se ha observado cómo los actores maliciosos están dejando de utilizar la popular y altamente eficaz suite de pruebas de penetración Cobalt Strike para optar por marcos similares, aunque menos conocidos, como Brute Ratel (se abre en una nueva pestaña) y, más recientemente, el kit de código abierto y multiplataforma conocido como Sliver.
Según Microsoft, sus investigadores han observado que el marco de mando y control Sliver (C2) se está utilizando cada vez más en campañas de intrusión llevadas a cabo por actores maliciosos patrocinados por Estados y por organizaciones de ciberdelincuencia especializadas en ransomware y extorsión, además de ser aprovechado por otros muchos actores maliciosos para eludir la detección.
Sliver se presentó por primera vez en el año 2019 y se promocionó entre los profesionales de la seguridad. Se trata de un marco de trabajo de código abierto, escrito en Go y disponible en GitHub. Sliver cuenta con varias funcionalidades estándar del marco C2 , entre las que se incluyen la compatibilidad con múltiples usuarios simultáneos, diversos tipos de oyentes, extensiones creadas por los usuarios y la generación de carga útil. Microsoft afirma haber observado que los autores de amenazas llevan integrando Sliver en sus conjuntos de herramientas desde el December 2020.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Cobalt Strike lleva mucho tiempo siendo uno de los marcos favoritos de los autores de amenazas de todo tipo. Por ello, las estrategias de detección de los defensores han ido madurando progresivamente y, dado que los métodos de uso de este malware por parte de los ciberdelincuentes se han documentado exhaustivamente, no es de extrañar que cada vez más actores maliciosos estén pasando a utilizar otros marcos de malware, como Sliver. «Que este marco concreto se convierta en el nuevo «MVP» de la ciberdelincuencia o que ese honor recaiga finalmente en algún otro marco tiene, en última instancia, poca importancia, siempre y cuando las organizaciones adopten un enfoque proactivo a la hora de elaborar guías de actuación para identificar y prevenir futuros casos de la actividad maliciosa que Sliver y sus homólogos pueden contribuir a desencadenar».
¿Desea descubrir cómo la solución de gestión convergente de terminales (XEM) de Tanium puede ayudarle a proteger su empresa frente a las amenazas cibernéticas? Pruebe Tanium hoy mismo.
También puede consultar aquí nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « »:.
