Un estudio sorprendente revela que las actividades cibernéticas ofensivas relacionadas con el conflicto entre Rusia y Ucrania han tenido un impacto apenas significativo fuera de los límites del ámbito cibernético vinculado al teatro de operaciones del conflicto. A continuación, analizamos el nuevo kit de herramientas EvilProxy de «phishing como servicio» (PhaaS), que actualmente se promociona en el mercado negro como una nueva forma de que los autores de amenazas eludan la autenticación de dos factores (2FA). Asimismo, compartimos un informe reciente de BlackBerry sobre una operación de ransomware de reciente aparición que se autodenomina «Monti».
1. El impacto de los ataques informáticos ofensivos vinculados a Rusia y Ucrania
Un nuevo estudio de la revista « » revela (se abre en una nueva pestaña) que los ciberataques relacionados con el conflicto entre Rusia y Ucrania han tenido un impacto menor fuera del teatro de operaciones y es poco probable que se intensifiquen aún más.
El estudio se centra principalmente en las actividades del mundo clandestino de la ciberdelincuencia (hacktivistas, organizaciones de ciberdelincuentes, bandas de ransomware, etc.), aunque también se pueden extraer conclusiones aplicables a los actores maliciosos de primer orden.
Investigadores de la Universidad de Cambridge ( ), la Universidad de Edimburgo y la Universidad de Strathclyde examinaron los datos (se abre en una nueva pestaña)recopilados durante los dos meses anteriores y los cuatro meses posteriores al inicio de las operaciones cinéticas de Rusia en Ucrania. Analizaron 281,000 ataques de desfiguración de páginas web, 1.7 millones de ataques de denegación de servicio distribuida (DDoS) y cientos de anuncios en Telegram utilizados por los piratas informáticos para coordinar su actividad.
Lo que predijeron los investigadores
Al principio, la actividad cibernética hostil entre ambos países parecía ajustarse a las previsiones del sector. Rusia fue el primer país en sufrir un ataque a gran escala, seguida de Ucrania unos días más tarde. Sin embargo, en el plazo de unas dos semanas, los ciberataques habían vuelto a lo que los investigadores describen como los niveles previos al conflicto.
Es aquí donde los datos se vuelven realmente interesantes. La siguiente información, recabada en el estudio, pone de relieve las diferencias entre lo que los expertos del sector esperaban observar durante este conflicto y lo que realmente ocurrió.
Al estallar el conflicto, la opinión generalizada en el sector era que el mayor riesgo cibernético que planteaba el conflicto era la amenaza de ataques avanzados y destructivos contra las infraestructuras críticas que sustentan a ambas naciones. Los expertos del sector no tardaron en predecir que Rusia demostraría su poderío en materia de ciberataques, desatando contra las infraestructuras críticas de Ucrania a sus notorios grupos de amenazas persistentes avanzadas (APT), respaldados por los servicios de inteligencia estatales y militares y vinculados al GRU, el FSB y el SVR, como los grupos APT29 o APT28. Ambos actores son conocidos por su sofisticación y por sus herramientas avanzadas.
Sin embargo, la mayor preocupación, tal y como la ha expresado el FBI, la CISA y repetida por legiones de expertos del sector de la ciberseguridad, era un efecto de contagio de « » (se abre en una nueva pestaña) —el nombre utilizado para describir el riesgo de que malware destructivo u operaciones cibernéticas hostiles traspasen los límites del teatro de operaciones de Europa del Este y lleguen a objetivos occidentales, ya sea por accidente o como represalia por las sanciones u otras medidas punitivas impuestas a Rusia por su supuesta beligerancia hacia una nación aliada de EE. UU.—.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Para CTI, las conclusiones de este estudio constituyen un microcosmos del conflicto entre Rusia y Ucrania y de la actividad cibernética que lo acompaña. El ámbito cibernético asociado a este teatro de operaciones es, sin duda, una especie de «salvaje oeste», en el que hacktivistas de bajo nivel y ciberdelincuentes prueban nuevas técnicas de ataque y eligen objetivos por diversión, por el reto que suponen o por puro aburrimiento. Del mismo modo, los grupos de ataque avanzado (APT) respaldados por Estados que operan en este conflicto parecen haberlo utilizado como una especie de campo de pruebas para nuevas herramientas y tácticas. Suponemos que es una suerte que, hasta el momento, hayamos observado pocos (si es que ha habido alguno) de los efectos colaterales tan publicitados sobre los que nos advirtieron nuestras agencias de ciberseguridad.
«Por supuesto, dada la sofisticación y la dedicación a la seguridad operativa (OPSEC) que se atribuye a algunos de los grupos que seguramente están actuando entre bastidores en este caso (APT29, APT28, etc.), no nos sorprendería que no tuviéramos noticia de incidentes derivados en los próximos meses».
2. El nuevo kit de herramientas «phishing-as-a-service» de EvilProxy permite a los ciberdelincuentes eludir 2FA medidas de seguridad
Un informe reciente de la empresa de ciberseguridad Resecurity, Inc. revela la existencia de un nuevo conjunto de herramientas de «phishing como servicio» (PhaaS), denominado « » EvilProxy (se abre en una nueva pestaña), que se está promocionando en el mercado negro como una forma de que los autores de amenazas eludan el 2FA. Este servicio permite a los autores de amenazas con pocos conocimientos técnicos robar cuentas en línea que, de otro modo, estarían bien protegidas, mediante el uso de métodos de proxy inverso e inyección de cookies para eludir la norma 2FA.
¿Qué es EvilProxy?
EvilProxy, también conocido como Moloch según otras fuentes, fue descubierto y promocionado en la dark web como un nuevo PhaaS.
La primera mención a EvilProxy se detectó en May 2022 cuando sus operadores publicaron un vídeo de demostración en el que se detallaba cómo podía utilizarse para distribuir enlaces de phishing avanzados con la intención de comprometer cuentas de usuarios pertenecientes a grandes marcas como Apple, Facebook, GoDaddy, GitHub, Google, Dropbox, Instagram, Microsoft, Twitter, Yahoo, Yandex y otras. EvilProxy también permite llevar a cabo ataques de phishing contra PyPI, lo cual resulta bastante coincidente, dado que PyPI fue objeto del primer ataque de phishing conocido de : (se abre en una nueva pestaña), precisamente la semana pasada.
EvilProxy se basa en el principio del «proxy inverso», que utiliza un proxy inverso de (se abre en una nueva pestaña) para recuperar todo el contenido legítimo que un usuario esperaría ver, como las páginas de inicio de sesión, pero al mismo tiempo intercepta el tráfico a medida que pasa por el proxy. Más concretamente, un proxy inverso es un servidor que se interpone entre la víctima y un punto final legítimo, como el formulario de inicio de sesión de una empresa. Cuando la víctima intenta conectarse a una página de phishing, el proxy inverso muestra el formulario de inicio de sesión legítimo y, cuando la víctima introduce sus credenciales en la página de phishing, se le redirige al servidor de la plataforma real. Sin embargo, dado que el servidor proxy se encuentra en medio, también puede sustraer la cookie de sesión que contiene el token de autenticación. A continuación, el autor de la amenaza puede utilizar la cookie de autenticación para iniciar sesión en el sitio web suplantando la identidad del usuario, eludiendo así las protecciones de la autenticación multifactorial (MFA).
Tras la activación, se le pedirá al operador que facilite sus credenciales SSH para proceder a la implementación de un contenedor de Docker y un conjunto de scripts. Este enfoque también se ha utilizado en otro servicio PhaaS denominado «Frappo», que fue identificado por Resecurity este año. Tras su implementación, los scripts redirigirán el tráfico procedente de las víctimas a través de 2 puertas de enlace definidas como «upstream».
Técnicas de antidetección
Los autores de las amenazas responsables de EvilProxy utilizan múltiples técnicas para evitar que se detecte el kit de herramientas PhaaS. Al igual que las soluciones de prevención del fraude y de inteligencia sobre ciberamenazas, recopilan datos sobre servicios VPN conocidos, proxies, nodos de salida de TOR y otros hosts que puedan utilizarse para el análisis de la reputación de las direcciones IP. En caso de que sospechen que se trata de un bot o de un investigador, cortan la conexión o la redirigen a un servidor específico. EvilProxy también se muestra minucioso a la hora de detectar posibles máquinas virtuales, que suelen utilizar los analistas de seguridad para investigar contenidos maliciosos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Los responsables de EvilProxy parecen tomar varias medidas adicionales para garantizar que el conjunto de herramientas cuente con un alcance amplio y eficaz. Para empezar, el número de vídeos instructivos que los autores de la amenaza han puesto a disposición es impresionante. Muchos de ellos explican, literalmente, paso a paso, las medidas que los piratas informáticos deben seguir para implementar con éxito EvilProxy. «Estos vídeos permiten a los autores de amenazas, independientemente de su nivel de sofisticación, utilizar este conjunto de herramientas para eludir la autenticación multifactorial (MFA), y ponen aún más de manifiesto lo fácil que resulta adentrarse en el mundo de la ciberdelincuencia».
«El aspecto más destacable de EvilProxy es el hecho de que los operadores someten a un proceso de selección a los clientes que desean adquirir el kit de herramientas. No está claro en qué consiste el proceso de selección, pero la existencia de dicho proceso indica que es probable que se rechace a algunos posibles compradores. A CTI le encantaría saber cuáles podrían ser los factores que impidan cerrar el trato... ¿antecedentes permanentes desfavorables?
3. El curioso caso del ransomware «Monti»: un doble en el mundo real
Un informe reciente de «», elaborado por el equipo de respuesta a incidentes de BlackBerry — (se abre en una nueva pestaña) —, detalla un ataque perpetrado por un grupo hasta ahora desconocido que se autodenomina «Monti». La mayoría de los IOC identificados en el ataque de Monti también se observaron en casos anteriores relacionados con el ransomware Conti.
El grupo de ransomware Monti: una visión general
Aunque la información disponible sobre el grupo de ransomware Monti es escasa, los investigadores de BlackBerry creen que este actor malicioso surgió entre mayo y June 2022. Los investigadores sospechan que el grupo ha imitado deliberadamente las tácticas, técnicas y procedimientos (TTP) del grupo de ransomware Conti, más conocido, junto con muchas de sus herramientas y su carga útil de cifrado. Las comunicaciones internas de Conti, los registros de chat, las guías de formación, el código fuente, etc., se filtraron públicamente (se abre en una nueva pestaña) a principios de año. Esta filtración proporcionó, en la práctica, a los autores de las amenazas de Monti (y probablemente a muchos otros) una guía paso a paso para imitar los ataques de Conti, conocidos por su gran éxito.
El ataque del ransomware Monti
En julio se recurrió al equipo de respuesta ante incidentes de BlackBerry Security Services para llevar a cabo una investigación forense sobre un incidente de seguridad relacionado con un programa de rescate. Se cree que el autor de la amenaza obtuvo acceso inicial mediante el aprovechamiento de la conocida vulnerabilidad Log4Shell (CVE-2021-44228 (se abre en una nueva pestaña)) en el sistema de virtualización VMware Horizon del cliente, conectado a Internet.
Cuando se contactó con BlackBerry, el autor de la amenaza ya había cifrado 18 ordenadores de sobremesa de los usuarios. El autor del ataque también cifró un clúster ESXi compuesto por tres servidores, lo que afectó a 21 servidores virtualizados.
Tras acceder al entorno de la víctima, el autor de la amenaza instaló el navegador Google Chrome y lo utilizó para descargar diversas herramientas de ataque. Además, el autor de la amenaza descargó e instaló dos agentes de supervisión y mantenimiento remotos, a saber, AnyDesk y Action1. Estos agentes se utilizaron para establecer la persistencia y permitieron un acceso remoto adicional.
Las herramientas que el atacante introdujo en el entorno también se utilizaron para extraer credenciales de la memoria y escanear la red. Además, se utilizó el Protocolo de Escritorio Remoto (RDP) integrado en Microsoft Windows para conectarse a otros servidores, acceder a archivos de datos en recursos compartidos de la red y, finalmente, para desplegar la variante de ransomware denominada «Monti».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque no se descarta por completo, no hay pruebas concretas de que Conti haya cambiado su nombre por el de Monti.» El hecho de que el código fuente de Conti esté a disposición del público hace posible que Monti se haya limitado a aprovechar esta información para crear su propio ransomware basado en Conti.
Teniendo en cuenta el notorio éxito que tuvo Conti, un auténtico cambio de marca de Conti sería más complejo que limitarse a reutilizar el código fuente filtrado, pero eso es solo nuestra humilde opinión. La reutilización de muchas de las TTP de Conti podría suponer una ventaja para los investigadores y los responsables de la seguridad a la hora de alertar y detectar el ransomware Monti.
Si bien la reutilización del código fuente de Conti puede resultar estratégica, la reutilización de la nota de rescate en sí resulta extraña y casi irónica. Las notas de rescate son idénticas, salvo por el uso de «Monti» en lugar de «Conti» y por un dominio «onion» diferente. El cuerpo de la nota sigue diciendo: «Si no sabe quiénes somos, solo tiene que buscarlo en Google», lo cual no tiene mucho sentido, teniendo en cuenta que Monti es una empresa nueva y que, por el momento, apenas aparecen resultados al buscarla en Google.
Eche un vistazo a nuestros últimos resúmenes de información sobre ciberamenazas de:. O bien, anímese a probar la solución « » de gestión convergente de terminales (XEM) de Tanium.
