Grupo de hackers rusos Cozy Bear vuelve al ataque
Los investigadores detallan cómo Cozy Bear, el grupo de piratería detrás de los ataques de DNC, ha estado trabajando por debajo del radar en ataques contra Ministerios de Asuntos Exteriores en toda Europa
Una operación de espionaje cibernético ruso que fue uno de los grupos que pirateó el Comité Nacional Demócrata en el período previo a las elecciones presidenciales de EE. UU. De 2016 ha estado ocupada con ataques contra departamentos gubernamentales en toda Europa y más allá.
Se cree que el grupo de pirateo Cosy Bear, también conocido como APT29, está asociado con el servicio de inteligencia ruso y, junto con el grupo de piratería militar ruso Fancy Bear , estuvo involucrado en una serie de ataques de alto perfil entre 2014 y 2017.
En el tiempo transcurrido desde entonces, Cozy Bear pareció quedarse en silencio , pero ahora los analistas de seguridad cibernética de ESET han detallado cómo el grupo, al que se refieren como Dukes , ha continuado su actividad mientras intentaba permanecer fuera del radar.
La campaña recién descubierta, denominada Operación Fantasma por investigadores, comenzó en 2013 y continuó en 2019, lo que significa que el grupo nunca detuvo su actividad de espionaje.
En los ataques con cuatro nuevas familias de malware, Cozy Bear se ha dirigido a los ministerios de asuntos exteriores en al menos tres países diferentes de Europa, así como a la embajada de Estados Unidos en un país de la Unión Europea en Washington DC.
Los investigadores han atribuido la Operación Fantasma a Cozy Bear porque los ataques usan malware de puerta trasera asociado con la actividad previa del grupo, MiniDuke, aunque esta versión parece haber sido actualizada. El grupo también parece estar más activo durante las horas de trabajo en Rusia, con actividades ocasionales durante la noche.
Al igual que otras campañas de Cozy Bear, los ataques comienzan con correos electrónicos dirigidos a la suplantación de identidad diseñados para atraer a las víctimas a hacer clic en un enlace malicioso o descargar malware a través de un archivo adjunto; sin embargo, los correos electrónicos iniciales de compromiso aún no se han identificado.
A partir de ahí, los atacantes roban detalles de inicio de sesión para recorrer las redes, a menudo explotando las credenciales de administrador para hacerlo.
Las campañas también utilizan tres nuevas familias de malware para ayudar a realizar operaciones en sistemas comprometidos, que los investigadores han denominado PolyglotDuke, RegDuke y FatDuke.
PolyglotDuke utiliza Twitter, Reddit, Imgur y otros sitios web para vincular a su infraestructura de comando y control (C&C), lo que permite a los atacantes evitar almacenar esta información en el malware, algo que puede ser útil para evitar la detección.
"Es menos probable que los sistemas automatizados marquen un ejecutable como malicioso si solo contiene URL de sitios web legítimos. Además, si el malware se ejecuta en un entorno limitado, sin acceso a Internet, no realizará ninguna actividad maliciosa ya que no puede llegar al servidor de C&C ", Matthieu Faou, investigador de malware de ESET y autor de la investigación, dijo a ZDNet.
"Finalmente, permite a los atacantes actualizar fácilmente la URL de C&C ya que solo necesitan reemplazar el mensaje", agregó.
Mientras tanto, RegDuke contiene la carga útil principal y la almacena en el registro de Windows al tiempo que aplica la estenografía para permanecer oculto. La tercera nueva familia de malware es FatDuke, algo que los investigadores describen como una puerta trasera sofisticada con la capacidad de robar credenciales de inicio de sesión y otros datos privados asociados con actividades de espionaje, especialmente contra departamentos gubernamentales de alto rango.
"Estas organizaciones generalmente manejan documentos altamente sensibles sobre políticas nacionales o mundiales. Por lo tanto, desde una perspectiva de espionaje, son objetivos muy valiosos", dijo Faou.
El informe de ESET establece que los investigadores continuarán monitoreando la actividad de Dukes y se ha publicado una lista de indicadores de compromiso en GitHub para ayudar a las posibles víctimas a detectar ataques.
Los investigadores también advierten que solo porque un grupo de amenazas APT parece haberse oscurecido, no significa que hayan detenido la actividad de espionaje; de hecho, la naturaleza misma del espionaje significa que están haciendo todo lo posible para evitar la detección. Y aunque grupos como Cozy Bear pueden ocasionalmente pausar la actividad, en última instancia es su trabajo llevar a cabo el espionaje en todo momento, por lo que el grupo volverá nuevamente en el futuro.
¿Te es util este articulo?. ¿Tienes una opinion relacionada con este articulo?. ¿Te has entretenido con nosotros?.
Si la respuesta es afirmativa, dejanos un comentario :) y como no Gracias por vernos