Se ha observado a un actor de amenazas patrocinado por el estado ruso apuntando a entidades diplomáticas y gubernamentales como parte de una serie de campañas de phishing que comenzaron el 17 de enero de 2022.
La firma de inteligencia de amenazas y respuesta a incidentes Mandiant atribuyó los ataques a un grupo de piratería rastreado como APT29 (también conocido como Cozy Bear), con un conjunto de actividades asociadas con la tripulación a las que se les asignó el apodo Nobelium (también conocido como UNC2452/2652).
“Esta última ola de phishing selectivo muestra los intereses duraderos de APT29 en obtener información diplomática y de política exterior de los gobiernos de todo el mundo”, Mandiant dicho en un informe publicado la semana pasada.
Se dice que el acceso inicial fue asistido a través de correos electrónicos de phishing dirigidos disfrazados de avisos administrativos, utilizando direcciones de correo electrónico legítimas pero comprometidas de otras entidades diplomáticas.
Estos correos electrónicos contienen un archivo adjunto de gotero HTML llamado ROOTSAW (también conocido como EnvyScout) que, cuando se abre, desencadena una secuencia de infección que entrega y ejecuta un descargador denominado BEATDROP en un sistema de destino.
Escrito en C, BEATDROP está diseñado para recuperar malware de próxima etapa desde un servidor remoto de comando y control (C2). Lo logra abusando del servicio Trello de Atlassian para almacenar información de la víctima y obtener cargas útiles de shellcode cifradas con AES para ejecutarlas.
APT29 también emplea una herramienta llamada BOOMMIC (también conocida como VaporRage) para establecer un punto de apoyo dentro del entorno, seguido de una escalada de sus privilegios dentro de la red comprometida para el movimiento lateral y el reconocimiento extenso de los hosts.
Además, un cambio operativo posterior observado en febrero de 2022 vio al actor de amenazas alejarse de BEATDROP a favor de un cargador basado en C ++ denominado BEACON, lo que podría reflejar la capacidad del grupo para alterar periódicamente sus TTP para permanecer oculto.
BEACON, programado en C o C++, es parte del marco Cobalt Strike que facilita la ejecución de comandos arbitrarios, la transferencia de archivos y otras funciones de puerta trasera, como la captura de capturas de pantalla y el registro de teclas.
El desarrollo sigue la línea de la empresa de ciberseguridad. decisión para fusionar el clúster no categorizado UNC2452 en APT29, al tiempo que se observa la propensión del grupo altamente sofisticado a evolucionar y refinar su oficio técnico para ofuscar la actividad y limitar su huella digital para evitar la detección.
Nobelium, en particular, violó varias empresas mediante un ataque a la cadena de suministro en el que el adversario accedió y manipuló el código fuente de SolarWinds, y usó las actualizaciones de software legítimas del proveedor para propagar el malware a los sistemas de los clientes.
“El avance consistente y constante en los TTP habla de su naturaleza disciplinada y su compromiso con las operaciones sigilosas y la persistencia”, dijo Mandiant, que caracterizó a APT29 como un “actor de amenazas en evolución, disciplinado y altamente calificado que opera con un mayor nivel de seguridad operativa (OPSEC). ) con fines de recopilación de inteligencia”.
Los hallazgos también coinciden con un informe especial de Microsoft, que observó que Nobelium intentaba violar empresas de TI que atienden a clientes gubernamentales en los estados miembros de la OTAN, utilizando el acceso a datos de desvío de organizaciones de política exterior occidentales.