Territorial Dispute herramienta de la NSA
Las herramientas de piratería filtradas el año 2017 y que se cree que pertenecen a la Agencia de Seguridad Nacional de los Estados Unidos (NSA) contienen una utilidad para detectar la presencia de malware desarrollado por otros grupos de ciberespionaje.
Esta utilidad, llamada por el nombre en clave de "Territorial Dispute", alerta a los operadores de NSA sobre la presencia de otros grupos de piratería de APT en una computadora comprometida y permite a un operador de NSA retirarse de una máquina infectada y evitar la exposición de las herramientas de pirateo de la NSA. y operaciones a otros atacantes del estado nación.
Territorial Dispute ignorada por EternalBlue
A pesar de estar incluido en un archivo que los Shadow Brokers filtraron en línea en abril del 2017, la naturaleza de la utilidad Territorial Dispute permanece desconocida hasta la semana pasada, cuando un grupo de investigadores húngaros describió la herramienta en un informe presentado en la conferencia de Kaspersky SAS.
La razón principal por la cual la naturaleza de la utilidad de disputa territorial tardó tanto en determinarse fue porque se incluyó en la misma filtración de Shadow Brokers que también incorporó EternalBlue, el exploit utilizado en el brote de ransomware WannaCry, pero también EternalRomance, EternalSynergy, FuzzBunch y otras herramientas de pirateo de primer nivel.
A pesar de no ser un arma cibernética ofensiva, Territorial Dispute dice mucho sobre el modus operandi de la NSA. En círculos infosec es bien sabido que los piratas informáticos de Estados Unidos no operan como otros grupos de ciberespionaje.
Debido a su posición central en la escena política mundial, EE.UU. Siempre se ha enfocado en el sigilo en un intento de no agriar las relaciones diplomáticas con países pirateados. Esto es exactamente lo contrario comparado con el ruido constante que sale de las actividades de APT en China y Rusia.
Territorial Dispute no es más que un escáner de malware
Debajo del capó, esta utilidad funciona de manera similar a un antivirus clásico. Una vez que un operador de NSA infecta un sistema remoto, puede usar Dispute Territorial para escanear el host, de forma similar a un antivirus.
Territorial Dispute comparará los archivos hash de los archivos locales de la computadora infectada a una base de datos interna de archivos hashes que pertenecen al malware implementado por otros grupos de pirateo de estado nación.
Si hay una coincidencia, Territorial Dispute enviará una alerta a su operador. Estas alertas contienen varios tipos de recomendaciones, como "por favor, retroceda", "busque ayuda de inmediato", "busque ayuda lo antes posible", "herramienta amigable" o "malware peligroso".
Los investigadores húngaros que analizaron el malware creen que los operadores de la NSA usan la herramienta para detectar tanto el malware adversario como el amistoso, como las herramientas de hacking desplegadas por las operaciones aliadas.
La NSA conoce al menos otras 45 APT
La lista interna de archivos hashes de Territorial Dispute también se organiza en 45 categorías diferentes, desde SIG1 hasta SIG45. Los investigadores creen que cada categoría es el nombre interno que usa la NSA para otros grupos de ciberespionaje.
El equipo de investigación intentó vincular hashes de archivos de la lista interna de Disputas Territoriales a archivos hash públicamente conocidos (IOC, indicadores de compromiso) de hacks e informes de seguridad anteriores.
Descubrieron que Territorial Dispute puede detectar malware implementado por grupos de APT con nombres en clave públicos como Turla, Fancy Bear, Duqu, Stuxnet, Flame, Dark Hotel y otros grupos más pequeños.
También detectaron hashes de archivos que no se conocían públicamente, lo que significa que la NSA probablemente descubrió operaciones de piratería de estado nación que no se habían analizado públicamente hasta el día de hoy.
Ahora depende de la industria de la ciberseguridad tomar estos hash de archivos aún desconocidos y rastrear qué grupos están utilizando estas herramientas nunca antes vistas.
Para obtener una lista exacta de lo que Territorial Dispute puede detectar de cada APT, consulte el documento de investigación titulado "Disputa territorial: la perspectiva de la NSA sobre el paisaje APT".