Backdoor Turla aprovecha archivos adjuntos de PDF
Los investigadores de malware de ESET han publicado un informe detallado sobre la última variante de la puerta trasera Turla que aprovecha los archivos adjuntos de PDF como C & C.
Los investigadores de malware de ESET han llevado a cabo un nuevo análisis de una puerta trasera utilizada por el APT Turla vinculado con Rusia en operaciones de espionaje dirigidas.
El nuevo análisis reveló una lista de víctimas de alto perfil que antes era desconocida.
Turla es el nombre de un grupo APT de ciberespionaje ruso (también conocido como Waterbug, Venomous Bear y KRYPTON) que ha estado activo desde al menos el 2007 apuntando a organizaciones gubernamentales y empresas privadas.
La lista de víctimas previamente conocidas es larga e incluye también a la firma de defensa suiza RUAG , el Departamento de Estado de los EE. UU. Y el Comando Central de EEUU
El arsenal de Turla está compuesto por sofisticadas herramientas de piratería y malware rastreadas como Turla ( Snake y Uroburos rootkit), Epic Turla (Wipbot y Tavdig) y Gloog Turla. En junio de 2016, los investigadores de Kaspersky informaron que Turla APT había comenzado a usar rootkit), Epic Turla (Wipbot y Tavdig) y Gloog Turla.
El nuevo análisis realizado por ESET reveló que piratas informáticos infringieron la Oficina Federal de Relaciones Exteriores de Alemania , Turla infectó varias computadoras y utilizó la puerta trasera para extraer datos durante casi todo 2017.
Las ciberpiratas pusieron en peligro la red del Colegio Federal de Administración Pública del país , y luego entraron en la red del Ministerio de Asuntos Exteriores en marzo de 2017, el hack fue descubierto por las autoridades alemanas a fines de año y divulgado públicamente en marzo de 2018. Explicó ESET que el aspecto más importante del nuevo análisis es el descubrimiento de un canal de acceso encubierto utilizado por Turla para llegar a oficinas extranjeras de otros dos países europeos.
"Es importante destacar que nuestra propia investigación ha determinado que, más allá de esta brecha de seguridad muy publicitada, el grupo ha aprovechado la misma puerta trasera para abrir un canal de acceso encubierto a las oficinas extranjeras de otros dos países europeos, así como a la red de un importante contratista de defensa ", dice el análisis publicado por ESET.
"Estas organizaciones son las más recientes adiciones conocidas a la lista de víctimas de este grupo de APT que ha tenido como blanco a gobiernos, funcionarios estatales, diplomáticos y autoridades militares desde al menos el 2008".
La puerta trasera Turla se ha utilizado desde al menos 2009 y se ha mejorado continuamente a través de los años. Las muestras más recientes parecen muy sofisticadas e implementan un raro grado de sigilo y resistencia. La última variante analizada data de abril de 2018 e implementa la capacidad de ejecutar scripts de PowerShell maliciosos directamente en la memoria de la computadora.
El malware analizado por ESET no utiliza un servidor de comando y control clásico, sino que recibe actualizaciones e instrucciones a través de archivos PDF entregados por correo electrónico.
"En lugar de utilizar una infraestructura convencional de comando y control (C & C), como una basada en HTTP (S), la puerta trasera se opera a través de mensajes de correo electrónico; más específicamente, a través de archivos PDF especialmente diseñados en archivos adjuntos de correo electrónico ", continúa el análisis.
"La máquina comprometida puede ser instruida para llevar a cabo una gama de comandos. Lo más importante, estos incluyen la filtración de datos, así como la descarga de archivos adicionales y la ejecución de programas y comandos adicionales. La exfiltración de datos también se realiza a través de archivos PDF ".
La información se filtra mediante la generación de un PDF con los datos de sifón y se envía a través de correos electrónicos y metadatos de mensajes.
"A partir de los documentos PDF, la puerta trasera puede recuperar lo que los atacantes llaman un contenedor en los registros. Este es un blob binario con un formato especial que contiene comandos encriptados para la puerta trasera ", dice el informe publicado por ESET.
"Técnicamente, el archivo adjunto no tiene que ser un documento PDF válido. El único requisito es que incluya un contenedor en el formato correcto ".
La puerta trasera de Turla elimina los mensajes enviados o recibidos por el atacante para permanecer ocultos.
La puerta trasera es una DLL independiente (biblioteca de enlaces dinámicos) que interactúa con Outlook y The Bat! clientes de correo electrónico, gana persistencia mediante el uso de secuestro de objetos COM. Con este truco, la DLL maliciosa podría cargarse cada vez que Outlook carga el objeto COM.
A diferencia de otras puertas traseras, la muestra Turla subvierte la interfaz de programación de aplicaciones de mensajería (MAPI) legítima de Microsoft Outlook para acceder a los buzones de los destinatarios y evitar ser detectado.