Lo primero en el resumen de esta semana es la cobertura de CTI sobre un informe de Proofpoint que revela que los piratas informáticos patrocinados por Estados están atacando cada vez más a las pequeñas y medianas empresas (pymes) de todo el mundo y utilizan infraestructuras comprometidas para lanzar nuevas campañas dirigidas a otras pequeñas empresas, gobiernos, fuerzas armadas y grandes entidades corporativas. A continuación, CTI analiza un informe de Fortinet sobre un nuevo malware basado en PowerShell denominado PowerExchange, que se está utilizando en ataques destinados a implantar puertas traseras en servidores Microsoft Exchange locales. Por último, CTI concluye con el análisis de un caso interesante en el que se dan cita tanto un ataque de ransomware como una amenaza interna.
1. Los actores maliciosos vinculados a Estados tienen como objetivo a las pymes
Según Proofpoint, los piratas informáticos patrocinados por el Estado y respaldados por los gobiernos de Rusia, Irán y Corea del Norte (se abre en una nueva pestaña) están atacando cada vez más a las pymes de todo el mundo. Estos ataques están diseñados para utilizar la infraestructura comprometida como plataforma de lanzamiento para nuevas campañas en las que los atacantes tienen como objetivo otras pymes, así como gobiernos, fuerzas armadas y grandes empresas.
Los investigadores de Proofpoint llevaron a cabo un análisis retrospectivo de las pymes que fueron objeto de ataques por parte de actores de amenazas persistentes avanzadas (APT) a lo largo del primer trimestre de 2022 y hasta el primer trimestre de 2023. Gracias a la perspectiva única de la empresa sobre lo que denomina telemetría «Proofpoint Essentials», este proveedor de seguridad ofrece información sobre más de 200 000 pymes a los investigadores que desean identificar las tendencias clave en el panorama de las amenazas cibernéticas, haciendo hincapié en la observación de los actores que plantean amenazas específicas para las pymes de todo el mundo.
A partir de estos valiosos datos, Proofpoint identificó a diversos actores de APT que tenían como objetivo a las pymes. Los investigadores consideran que dichos actores están vinculados a los gobiernos de Rusia, Irán y Corea del Norte, y, según se informa, llevan a cabo operaciones en defensa de los intereses estatales de dichos países.
Las principales tendencias de ataques dirigidos a las pymes
Los investigadores de Proofpoint han identificado tres tendencias principales en los ataques dirigidos a pymes de entre 2022 y 2023. Entre ellos se incluyen:
- El uso de infraestructuras SMB comprometidas en campañas de phishing de tipo « ».
- Ataques dirigidos a pymes regionales por parte de actores vinculados al Estado con el fin de cometer delitos financieros.
- Los proveedores regionales de servicios gestionados (MSP regionales) más vulnerables están siendo objeto de ataques de phishing, lo que supone una amenaza de ataques a la cadena de suministro de las pymes. Los MSP regionales son MSP de tamaño pequeño o mediano que prestan servicio a clientes en una zona geográfica concreta.
El uso de una infraestructura SMB comprometida en campañas de amenazas persistentes avanzadas (APT)
Una de las tendencias más interesantes que se desprende del análisis de Proofpoint es el uso que hacen los actores de APT de infraestructuras de pymes comprometidas para facilitar campañas de phishing dirigidas contra objetivos secundarios de gran valor.
Tal y como señalan los investigadores, un ejemplo típico de este tipo de actividad consistió en que un actor malintencionado logró comprometer un servidor web o una cuenta de correo electrónico de una pyme.
El método de acceso inicial variaba. La infiltración podría haber sido consecuencia de la sustracción de credenciales o, en el caso de un servidor web, de la explotación de una vulnerabilidad sin parchear. Sea cual sea la vía de acceso, una dirección de correo electrónico comprometida suele utilizarse para enviar correos electrónicos maliciosos desde una «fuente de confianza» a objetivos secundarios de interés.
Tal y como señala Proofpoint, si un actor malintencionado tuviera la suerte de comprometer un servidor web que aloja un dominio, es muy probable que el siguiente paso consistiera en hacer un uso indebido de esta parte de la infraestructura legítima, es decir, utilizarla para alojar o distribuir malware malicioso a una víctima externa situada en una fase anterior de la cadena.
Tres ejemplos de la vida real
Ejemplo práctico: TA473
El informe cita un caso real en el que los investigadores de Proofpoint observaron que una infraestructura de pymes comprometida estaba siendo utilizada por el actor de APT al que la empresa identifica como TA473 (Winter Vivern) en campañas de phishing que tuvieron lugar entre el November 2022 y el February 2023.
De Proofpoint:
Estas campañas tenían como objetivo organismos gubernamentales de Estados Unidos y Europa. En el informe « March 2023», Proofpoint publicó detalles sobre TA473’s correos electrónicos de transmisión procedentes de direcciones de correo electrónico comprometidas. En varios casos, estos correos electrónicos procedían de dominios alojados en WordPress que, en el momento del ataque, podrían no haber sido actualizados o no ser seguros. Además, se han aprovechado vulnerabilidades en servidores de correo web de Zimbra que no contaban con los parches correspondientes para comprometer cuentas de correo electrónico de entidades gubernamentales. Además de enviar correos electrónicos a través de una infraestructura de pymes comprometida, TA473 también ha utilizado dominios de pequeñas y medianas empresas comprometidos para distribuir cargas útiles de malware.
Ejemplo práctico: TA422
Otro caso real consistió en la suplantación habitual de una pyme (ubicada en Arabia Saudí y perteneciente al sector de la fabricación de automóviles) como parte de una campaña de phishing, cuyo objetivo era la obtención de credenciales.
La campaña se dirigió a direcciones de correo electrónico privadas pertenecientes a víctimas en EE. UU. y Ucrania, y se ha atribuido a TA422 (también conocido como APT28), un actor malicioso patrocinado por el Estado vinculado al servicio de inteligencia militar ruso GRU. Además de poner claramente de manifiesto que las APT vinculadas a Rusia siguen atacando a entidades ucranianas, la campaña también incluyó la suplantación de identidad de una entidad de Oriente Medio para atacar a víctimas en Estados Unidos y Europa.
De Proofpoint:
El autor de la amenaza incluyó la dirección falsificada en el campo «MailTo» del encabezado del correo electrónico, probablemente con el fin de reforzar las tácticas de ingeniería social para hacerse pasar por la entidad suplantada. Sin embargo, esta suplantación de identidad a través del campo «MailTo» tiene como consecuencia práctica que los correos electrónicos no entregados se devuelvan al dominio legítimo del que se está suplantando la identidad por parte del actor malintencionado. Por lo tanto, el efecto secundario involuntario de los correos electrónicos rechazados permitió a los investigadores de Proofpoint identificar las páginas de recopilación de credenciales de TA422 que utilizaban los siguientes subdominios para alojar páginas de suplantación de identidad destinadas a obtener credenciales: 42web[.]io y frge[.]io.
Ejemplo práctico: TA499
El tercer y último ejemplo real que se recoge en el informe de Proofpoint se refería a un caso significativo de suplantación de identidad por parte de un grupo APT que tuvo lugar en May 2022. El actor malicioso identificado por Proofpoint como « TA499 » (también conocido como «Vovan» o «Lexus»), un actor con sede en Rusia y vinculado al Estado que suele solicitar conferencias telefónicas de temática política a personalidades destacadas y favorables a Ucrania, atacó a una empresa de tamaño medio dedicada a la representación de famosos en Estados Unidos.
De Proofpoint:
TA499 intentó convencer a una importante celebridad estadounidense para que participara en una videoconferencia sobre el conflicto en Ucrania haciéndose pasar por el presidente ucraniano Volodymyr Zelensky. Proofpoint pudo atribuir esta campaña a TA499 basándose en una serie de direcciones de correo electrónico y dominios controlados por los autores, que el grupo utilizó de forma sistemática a lo largo de 2022.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«A la luz de las conclusiones combinadas presentadas en el informe de Proofpoint, resulta evidente que los actores de APT patrocinados por Estados se están centrando cada vez más en las pymes —muchas de las cuales son vulnerables a los ataques— y en los proveedores de servicios de gestión (MSP) regionales, con el fin de satisfacer los requisitos de recopilación de información de inteligencia alineados con los intereses estatales».
«Las conclusiones descritas anteriormente ponen de manifiesto, asimismo, el deseo y la disposición de estos mismos grupos respaldados por Estados a utilizar la vulnerabilidad de la infraestructura de las pymes para facilitar ataques secundarios contra objetivos de gran valor, que tienen más probabilidades de proporcionar información de inteligencia mucho más útil».
2. El nuevo malware «PowerExchange» abre puertas traseras en los servidores de Microsoft Exchange
Fortinet ha descubierto un nuevo malware basado en PowerShell denominado «PowerExchange» que se está utilizando en ataques destinados a implantar puertas traseras en servidores Microsoft Exchange locales. Se cree que esta actividad está relacionada con el grupo iraní considerado una amenaza conocido como « APT34».
Fortinet detectó el año pasado varios ataques simultáneos dirigidos contra una entidad gubernamental de los Emiratos Árabes Unidos, uno de los cuales no se había identificado hasta ahora. Al final resultó que este caso estaba relacionado con el malware PowerExchange. El protocolo de comando y control (C2) de la puerta trasera se basa en el correo electrónico y utiliza el servidor Microsoft Exchange de la víctima como su servidor C2 .
Una investigación más exhaustiva reveló la existencia de la puerta trasera en otros terminales del entorno, además de la presencia de otros muchos implantes en diversos servidores. Uno de esos implantes, ubicado en un servidor de Microsoft Exchange, era un «web shell» conocido como ExchangeLeech.
La cadena de infección de este ataque comenzó con un correo electrónico de phishing convencional. La víctima abrió un archivo ZIP, denominado «Brochure.zip», que contenía un ejecutable malicioso de .NET con el mismo nombre. El archivo, un ejecutable con el icono de Adobe PDF, se guardó en una carpeta temporal y, al ejecutarlo, mostró un mensaje de error. El ejecutable es, en realidad, un «dropper» que facilita la instalación y la ejecución de la carga útil final. Crea tres archivos: autosave.exe, wsdl.ps1 y Microsoft.Exchange.WebServices.dll. A continuación, el programa de descarga establece la persistencia de «autosave.exe» mediante una tarea programada que se ejecutará periódicamente cada cinco minutos. Autosave.exe ejecutará la carga útil final de PowerShell —wsdl.ps1 — en un nuevo proceso.
Acerca de la puerta trasera PowerExchange
- La puerta trasera PowerExchange debe su nombre a la naturaleza de su canal C2 , ya que aprovecha la API de Exchange Web Services (EWS) para conectarse al servidor Exchange de la víctima y utiliza los buzones de correo para enviar y recibir comandos.
- Para ello, se carga una DLL de .NET mediante reflexión desde la misma carpeta. Se puede acceder al servidor Exchange desde Internet, lo que evita C2 comunicaciones con servidores externos y permite que actúe como proxy para el autor de la amenaza.
- La puerta trasera se conecta al servidor Exchange y envía el nombre del ordenador « base64-encoded » a un buzón de correo para indicar que está en funcionamiento. La dirección de correo electrónico y las credenciales de conexión están codificadas de forma fija en la propia puerta trasera. A continuación, el operador puede responder indicando buzones de correo adicionales a los que la puerta trasera debe enviar señales durante la sesión actual, o bien el identificador de un correo del que se debe recuperar y ejecutar un comando.
- Para enviar datos, la puerta trasera creará un correo electrónico con el asunto «Actualización de Microsoft Edge». El cuerpo de este correo electrónico es simplemente el texto «Actualización de Microsoft Edge». Los datos se envían como archivo adjunto en el correo electrónico titulado «New Text Document.txt».
- Los comandos se envían a la puerta trasera como contenido codificado en formato base64 sin relleno en los archivos adjuntos de los correos electrónicos. La puerta trasera admite tres comandos específicos mediante la comprobación del estado de variables predeterminadas tras la evaluación de las expresiones. Las respuestas se envían por correo electrónico a la misma dirección de correo electrónico desde la que se recibió el mensaje de comando.
Referencia: APT34
Fortinet ha atribuido la campaña relacionada con la puerta trasera «PowerExchange» al grupo de ciberamenazas iraní APT34, que históricamente ha atacado a diversos sectores, entre ellos el financiero, el gubernamental, el energético, el químico y el de las telecomunicaciones. El grupo suele aprovechar las relaciones entre organizaciones para llevar a cabo ataques a la cadena de suministro.
PowerExchange presenta bastantes similitudes con la puerta trasera TriFive, que ya se había relacionado anteriormente con APT34. Las puertas traseras están escritas en PowerShell y se activan mediante una tarea programada periódica, y los C2 canales utilizan el servidor Exchange de la organización a través de la API EWS. El código subyacente de ambos es diferente, pero se da por hecho que PowerExchange es simplemente una versión nueva y mejorada de TriFive.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta campaña utiliza el servidor Exchange de la víctima para su comunicación C2 , lo que permite que la puerta trasera se camufle mejor entre el tráfico legítimo y benigno».
«Esta técnica permite al autor de la amenaza eludir con mayor eficacia los sistemas de detección basados en la red. No obstante, conviene reiterar que esta puerta trasera afecta actualmente a los servidores Exchange locales, que sin duda son cada vez menos habituales debido a la generalizada transición a la nube».
3. Un empleado del departamento de informática se hace pasar por una banda de ransomware para extorsionar a su empresa
Ashley Liles, de veintiocho años y residente en el Reino Unido, ha sido condenado por acceso no autorizado a un sistema informático con intención delictiva y por chantajear a su empleador.
En el año 2018, el señor Liles trabajaba como analista de seguridad informática en una empresa con sede en Oxford. February 27 , de ese mismo año, su empresa sufrió un incidente de ciberseguridad en el que el autor de la amenaza logró acceder a una amplia parte de sus sistemas informáticos. A continuación, el atacante se puso en contacto con altos cargos de la empresa para exigir un rescate.
A partir de ahí, las cosas no hicieron más que volverse aún más extrañas.
Gracias a su cargo, a Liles se le encomendó la investigación del incidente, durante el cual los atacantes se pusieron en contacto con los directivos de la empresa para exigir el pago de un rescate. El señor Liles desempeñó un papel importante en las investigaciones internas de la organización y en las actividades de respuesta ante incidentes, en las que contó con la colaboración de sus compañeros de la empresa y de miembros de las fuerzas del orden locales.
Fue en ese momento cuando Liles descubrió la oportunidad de sacar partido del incidente de ciberseguridad, aprovechándose de la brecha de seguridad para beneficiarse económicamente «aprovechándose» del incidente ya existente, e intentando desviar el posible pago del rescate a un monedero de criptomonedas bajo su control.
Según informa BleepingComputer, durante la fase de respuesta al incidente de , (se abre en una nueva pestaña) , Liles intentó «enriquecerse a costa del ataque engañando a su empresa para que le pagara a él el rescate en lugar de al atacante externo original».
Tal y como se indica en el comunicado de prensa de SEROCU: «Accedió a los correos electrónicos privados de un miembro de la junta directiva en más de 300 ocasiones, además de modificar el correo electrónico de chantaje original y cambiar la dirección de pago facilitada por el atacante original». «Con ello se esperaba que, en caso de que se realizara el pago, este se le entregara a él y no al agresor original».
Liles llegó incluso a crear una dirección de correo electrónico prácticamente idéntica a la que utilizaba el verdadero atacante, y utilizó esa cuenta para enviar un mensaje a su empresa, presionándola para que cediera a la demanda de rescate y realizara el pago.
Sin que ni su empresa ni la policía lo supieran, Liles había iniciado, de hecho, un ataque «independiente y secundario» contra la empresa, que ya se enfrentaba a un auténtico ataque de ransomware en otro frente.
Por desgracia para el Sr. Liles, el propietario de la empresa no estaba dispuesto a pagar a los atacantes, y las investigaciones internas posteriores revelaron rápidamente la traición de Liles —que, para entonces, incluía repetidos accesos no autorizados a correos electrónicos privados de la empresa—, accesos que llevaron a los investigadores directamente a su dirección IP doméstica.
Para entonces, al parecer, Liles había empezado a percibir que se le venían encima y comenzó a borrar todos los datos de sus dispositivos personales, una tarea que ya había llevado a cabo con éxito cuando el equipo de delitos informáticos de la SEROCU registró su domicilio y le incautó el ordenador. Por desgracia para el acosado Sr. Liles, los investigadores recuperaron suficientes datos incriminatorios como para construir un caso en su contra.
Durante los cinco años siguientes, Liles negó cualquier implicación en el delito. Sin embargo, en una reciente vista celebrada en el Tribunal Penal de Reading, finalmente se declaró culpable de todos los cargos. La sentencia se dictará el July 11, 2023.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«A menudo hablamos de las amenazas internas y las consideramos continuamente como una de las principales amenazas cibernéticas a las que se enfrentan las organizaciones, pero descubrir todos los detalles escabrosos de un caso como este es algo poco habitual».
«Aunque los detalles técnicos del caso son escasos, sí que sirve para recordar el tipo de daño que puede causar una sola persona sin escrúpulos a la que se le concede demasiada libertad de acción». Los puestos de analista de seguridad suelen ser empleos bien remunerados, que normalmente otorgan al empleado un grado considerable de acceso y privilegios. Los autores de las amenazas son tan conscientes de estos hechos como lo somos nosotros. Esto no quiere decir que los autores de amenazas estén solicitando puestos de trabajo en el ámbito de la seguridad a montones. «Sin embargo, se han producido incidentes en los que los autores de amenazas se han dirigido a este tipo de empleados para sobornarlos, coaccionarlos o chantajearlos con el fin de que personas con acceso a información privilegiada les ayuden a llevar a cabo actividades maliciosas».
Tal y como explica Help Net (se abre en una nueva pestaña) :
Si bien algunas amenazas internas pueden deberse a la negligencia o a la ignorancia, este caso pone de manifiesto un escenario más siniestro en el que interviene una persona malintencionada y oportunista. Las personas malintencionadas que forman parte de la organización se aprovechan de su acceso autorizado y de sus privilegios para llevar a cabo actividades perjudiciales, contrarias a la ética o ilegales.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « ».
