En lo que se describe como un giro “sin precedentes”, los operadores del malware TrickBot han recurrido a atacar sistemáticamente a Ucrania desde el inicio de la guerra a finales de febrero de 2022.
Se cree que el grupo orquestó al menos seis campañas de phishing dirigidas a objetivos que se alinean con los intereses del estado ruso, y los correos electrónicos actúan como señuelos para entregar software malicioso como IcedID, CobaltStrike, AnchorMail y Meterpreter.
Rastreada con los nombres ITG23, Gold Blackburn y Wizard Spider, la pandilla de ciberdelincuencia con motivaciones financieras es conocida por su desarrollo del troyano bancario TrickBot y se incluyó en el cártel de ransomware Conti, ahora descontinuado, a principios de este año.
Pero solo unas semanas después, los actores asociados con el grupo resurgieron con una versión renovada del AnchorDNS puerta trasera llamada AnchorMail que usa protocolos SMTPS e IMAP para comunicaciones de comando y control.
“Las campañas de ITG23 contra Ucrania son notables debido a la medida en que esta actividad difiere del precedente histórico y al hecho de que estas campañas parecían dirigidas específicamente a Ucrania con algunas cargas útiles que sugieren un mayor grado de selección de objetivos”, dijo Ole, analista de IBM Security X-Force. Villadsen dijo en un informe técnico.
Un cambio notable en las campañas implica el uso de descargadores de Microsoft Excel nunca antes vistos y la implementación de CobaltStrike, Meterpreter y AnchorMail como cargas útiles de primera etapa. Se dice que los ataques comenzaron a mediados de abril de 2022.
Curiosamente, el actor de amenazas aprovechó el espectro de la guerra nuclear en su engaño de correo electrónico para difundir el implante AnchorMail, una táctica que sería repetida por el grupo de estado-nación ruso rastreado como APT28 dos meses después para difundir malware de robo de datos en Ucrania.
Además, la muestra de Cobalt Strike implementada como parte de una campaña de mayo de 2022 utilizó un nuevo encriptador denominado Forest para evadir la detección, el último de los cuales también se ha utilizado junto con el malware Bumblebee, dando crédito a las teorías de que el cargador está siendo operado. por la pandilla TrickBot.
“Las divisiones ideológicas y las lealtades se han vuelto cada vez más evidentes dentro del ecosistema ciberdelincuente de habla rusa este año”, señaló Villadsen. “Estas campañas proporcionan evidencia de que Ucrania está en la mira de destacados grupos ciberdelincuentes rusos”.
El desarrollo se produce cuando los medios de comunicación ucranianos han sido dirigido con mensajes de phishing que contiene documentos con malware que explotan la vulnerabilidad de Follina para colocar DarkCrystal RAT en sistemas comprometidos.
El Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) también ha prevenido de intrusiones realizadas por un grupo llamado UAC-0056 que involucra organizaciones estatales en huelga con señuelos con temas de personal para arrojar Cobalt Strike Beacons sobre los anfitriones.
La agencia, el mes pasado, prosiguió señaló el uso del armamento Royal Road RTF por parte de un actor con sede en China cuyo nombre en código es Equipo Tonto (también conocido como Karma Panda) para apuntar a empresas científicas y técnicas y organismos estatales ubicados en Rusia con el Malware bisonal.
Atribuyendo estos ataques con confianza media al grupo de amenazas persistentes avanzadas (APT), SentinelOne dijo los resultados demostrar “un esfuerzo continuo” por parte del aparato de inteligencia chino para apuntar a una amplia gama de organizaciones vinculadas a Rusia.