En el informe de esta semana, ofrecemos una visión general de una campaña reciente atribuida al conocido actor malicioso ruso APT28 (también conocido como Fancy Bear), que, según se informa, está utilizando una novedosa técnica de ejecución de código que requiere una interacción humana mínima para lanzar sus ataques.
A continuación, presentamos un informe de inteligencia estratégica sobre la reciente advertencia de Ucrania de que Rusia está planeando una nueva oleada de ataques contra las infraestructuras críticas del país.
Por último, analizamos en profundidad una nueva campaña dirigida contra varios contratistas militares implicados en la fabricación de armas, entre los que se encuentra un proveedor dedicado a la fabricación de componentes para los aviones de combate F-35 Lightning II.
1. Los piratas informáticos utilizan archivos de PowerPoint para distribuir malware mediante la función «mouseover»
Cluster25 ha identificado una técnica de ejecución de código algo novedosa y poco común (se abre en una nueva pestaña) que se basa en los movimientos del ratón de las víctimas dentro de Microsoft PowerPoint para activar un script malicioso de PowerShell. Los investigadores consideran que la campaña está vinculada de manera específica al actor malicioso APT28, respaldado por el Estado ruso y también conocido como Fancy Bear.
El documento señuelo detectado en esta campaña es un archivo de PowerPoint que aprovecha una interesante técnica de ejecución de código. Está diseñado para activarse cuando el usuario inicia el modo de presentación de PowerPoint y mueve el ratón.
Un informe de la empresa de inteligencia sobre amenazas Cluster25 indica que APT28 (también conocido como «Fancy Bear»), un grupo de ciberamenazas atribuido al GRU ruso, ha utilizado archivos de PowerPoint para la distribución de malware mediante la función «mouseover» https://t.co/5BEf2PM6S2 @BleepinComputer
— 780.ª Brigada de Inteligencia Militar (Cibernética) (@780thC) September 27, 2022
El atractivo de PowerPoint
El archivo de PowerPoint en cuestión contiene dos diapositivas, cada una de las cuales presenta el mismo contenido. Sin embargo, la primera diapositiva está redactada en inglés y la segunda, en francés.
A juzgar por todas las apariencias, el documento está vinculado a la Organización para la Cooperación y el Desarrollo Económicos (OCDE), una organización intergubernamental dedicada a fomentar el progreso económico y el comercio a escala mundial. Las propias diapositivas ofrecen a los destinatarios instrucciones sobre el uso de una opción de interpretación integrada en la aplicación de videoconferencia Zoom.
El archivo de PowerPoint aprovecha una técnica única de ejecución de código que se activa mediante el uso de hipervínculos, en lugar de la más tradicional opción «Ejecutar programa/macro» (lo cual podría deberse a la reciente decisión de Microsoft de desactivar por defecto determinadas macros en sus productos de Office). El código malicioso se activa ante la más mínima interacción por parte del usuario; concretamente, cuando este mueve el cursor mientras se encuentra en modo de presentación.
La ejecución del código ejecuta un script de PowerShell a través de la utilidad SyncAppvPublishingServer y, a continuación, descarga y ejecuta un archivo JPEG desde OneDrive.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Desde luego, no es nada inusual que los autores de amenazas distribuyan malware a través de archivos de Office, aunque en la mayoría de los casos parecen recurrir a documentos de Excel y Word, en lugar de a archivos de PowerPoint».
«Al igual que muchas campañas de phishing de tipo « » observadas en los últimos meses, este ataque prescinde del uso de macros maliciosas y, en su lugar, recurre a un ingenioso evento de «mouseover» como catalizador generado por el usuario mediante el cual se ejecuta el código malicioso, aunque el usuario ni siquiera tenga que hacer clic físicamente en el enlace. «Aunque esta técnica no es nueva, sin duda es poco habitual y digna de mención, y merece la pena seguirla de cerca».
«El esfuerzo titánico que a menudo supone enseñar a los empleados a abstenerse de hacer clic en enlaces de aspecto sospechoso es una cosa, pero la complejidad aumenta considerablemente cuando el mero hecho de pasar el cursor por encima de un enlace puede provocar una actividad maliciosa significativa». «La revisión de los programas de sensibilización y formación sobre ingeniería social relacionados con el phishing y el « » para que reflejen este riesgo resulta especialmente ardua, ya que la técnica de pasar el cursor por encima suele ser una de las principales medidas defensivas que se enseña a los empleados para determinar mejor la legitimidad de un mensaje cuando se encuentran con correos electrónicos sospechosos de ser maliciosos».
2. Ucrania advierte de que Rusia planea «ciberataques a gran escala» contra infraestructuras críticas
Un aviso reciente de « » publicado por el Ministerio de Defensa de Ucrania (se abre en una nueva pestaña) advierte de que actores maliciosos respaldados por el Estado ruso están planeando ciberataques a gran escala tanto contra las infraestructuras críticas de empresas ucranianas como contra las de los aliados de Ucrania.
Ucrania advierte de ciberataques inminentes del GRU
La advertencia afirma que el golpe irá dirigido a las empresas del sector energético. Curiosamente, la advertencia continúa señalando que estos ataques recordarán en gran medida a los perpetrados contra los sistemas energéticos de Ucrania en 2015 y 2016 , cuando, según se informa, unos piratas informáticos que actuaban bajo los auspicios del GRU ruso (el servicio de inteligencia militar) llevaron a cabo dos oleadas de ataques, cada una de ellas utilizando un malware de gran potencia.
Este reciente aviso se produce tras varios avances militares ucranianos que han dado lugar a la reconquista de amplias zonas de ciudades que llevaban meses bajo control ruso. Los investigadores también señalan el reciente proyecto de Rusia (una convocatoria para la movilización de 300,000 ciudadanos rusos adicionales con el fin de respaldar el conflicto del país con Ucrania) como un posible catalizador del creciente recurso de Rusia a las actividades cibernéticas ofensivas para alcanzar sus objetivos militares, evitando así agravar aún más la actual escasez de personal militar.
Los investigadores analizan los ciberataques anteriores contra las infraestructuras de Ucrania
Los investigadores tienen opiniones divergentes a la hora de evaluar las probabilidades de que se lleve a cabo con éxito una campaña de ciberataques contra la red eléctrica de Ucrania en el año 2022. Las unidades de ciberdefensa de Ucrania parecen haber mejorado su capacidad para detectar y prevenir actividades maliciosas en las redes de las organizaciones que conforman la infraestructura crítica del país (me viene a la mente la detección por parte del CERT-UA de Ucrania del malware Industroyer (se abre en una nueva pestaña) en el entorno de una empresa energética regional).
Por otra parte, los informes sugieren que los ataques 2015, 2016 y otros incidentes más recientes se han atribuido al grupo Sandworm, una amenaza persistente avanzada (APT) respaldada por el Estado ruso; y en lo que los investigadores coinciden es en que Sandworm se considera uno de los grupos de piratas informáticos patrocinados por un Estado más selectos del mundo.
Además, si hay que dar crédito a un informe reciente de Mandiant publicado en (se abre en una nueva pestaña) y a datos similares de otras empresas de inteligencia sobre amenazas cibernéticas, las APT a sueldo del Kremlin no son las únicas amenazas inmediatas a las que se enfrenta Ucrania. Los ciberactivistas con presuntos vínculos con el GRU ruso también han sido noticia últimamente en (se abre en una nueva pestaña) por sus ataques de denegación de servicio distribuido (DDoS) y de alteración de páginas web contra sitios web ucranianos (los expertos consideran que actúan como tapadera para operaciones de información y actividades cibernéticas destructivas coordinadas por el Kremlin).
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Ucrania —para sorpresa de gran parte del mundo— ha mantenido hasta ahora una fuerte resistencia frente a las incursiones militares rusas de tipo cinético. Sin embargo, aún está por ver si las fuerzas de ciberdefensa de Ucrania serán capaces de mantener una resistencia igualmente sólida frente a algunos de los hackers más temidos del mundo.
«Sin duda, el nivel y la frecuencia de los ciberataques observados entre las partes beligerantes implicadas en este conflicto en curso no tienen parangón en la historia mundial. «Las tácticas, técnicas y procedimientos (TTP) que se han puesto de manifiesto a lo largo de este período de inestabilidad acabarán inevitablemente extendiéndose más allá del teatro de operaciones y de su espacio de batalla cibernético, lo que demostrará una vez más que nada ocurre en el vacío y que el conflicto —por muy lejos que esté— acabará afectándonos a todos».
«La única pregunta que queda por plantear es la siguiente: ¿qué aprenderemos de todo esto y cómo lo aprovecharemos?»
3. Unos investigadores descubren una campaña de ataques encubiertos dirigida contra contratistas militares
Un informe reciente de Securonix Threat Labs analiza una nueva campaña de dirigida contra varios contratistas militares (se abre en una nueva pestaña) dedicados a la fabricación de armamento, incluida una organización responsable de la fabricación y el suministro de componentes para los aviones de combate F-35 Lightning II.
La campaña comienza —como suele ocurrir en tantos otros casos— con un correo electrónico de phishing dirigido a los empleados, que da lugar a una infección en varias fases; esta actividad destaca por su infraestructura «Secure C2 » y por las múltiples capas de ofuscación presentes en las fases de PowerShell de los ataques.
Según Securonix, el spear phishing fue el principal método utilizado para el acceso inicial al sistema. El ataque en sí se llevó a cabo a partir de finales del verano de 2022 y tuvo como objetivo al menos dos organizaciones de gran relevancia que actualmente operan como contratistas militares.
La campaña utiliza un script malicioso que intenta aplicar varios métodos de persistencia, entre los que se incluyen integrarse en el registro, insertarse como una tarea programada en el equipo afectado y utilizar WMI para crear una nueva suscripción con el fin de ejecutar código malicioso como argumentos de línea de comandos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque las tácticas generales empleadas en esta campaña son bien conocidas por los investigadores en materia de seguridad, el autor de la amenaza que se esconde tras ella parece haber dedicado un gran esfuerzo a establecer técnicas sólidas contra el análisis y medidas para eludir la investigación forense. En una estrategia que, en general, se considera poco habitual entre los ciberdelincuentes responsables de la mayoría de las campañas de phishing, a las que suelen seguir actividades de post-explotación en varias fases, este actor malicioso parece haberse esforzado por mantener un grado significativo de seguridad operativa (OPSEC) a lo largo de todo el ciclo de ataque, en lugar de centrar todos sus esfuerzos en aumentar la complejidad técnica de las fases de post-explotación de la operación, garantizando así que el malware de la campaña resulte más difícil de detectar y analizar.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « ».
