Una versi\u00f3n actualizada de un sofisticado marco de puerta trasera llamado MATA<\/strong> se ha utilizado en ataques dirigidos a m\u00e1s de una docena de empresas de Europa del Este en el sector del petr\u00f3leo y el gas y la industria de defensa como parte de una operaci\u00f3n de ciberespionaje que tuvo lugar entre agosto de 2022 y mayo de 2023.<\/p>\n “Los actores detr\u00e1s del ataque utilizaron correos electr\u00f3nicos de phishing dirigidos a varias v\u00edctimas, algunas fueron infectadas con malware ejecutable de Windows al descargar archivos a trav\u00e9s de un navegador de Internet”, Kaspersky dicho<\/a> en un nuevo informe exhaustivo publicado esta semana.<\/p>\n “Cada documento de phishing contiene un enlace externo para buscar una p\u00e1gina remota que contiene un CVE-2021-26411<\/a> explotar.”<\/p>\n CVE-2021-26411 (puntuaci\u00f3n CVSS: 8,8) hace referencia a una vulnerabilidad de corrupci\u00f3n de memoria en Internet Explorer que podr\u00eda activarse para ejecutar c\u00f3digo arbitrario enga\u00f1ando a una v\u00edctima para que visite un sitio especialmente dise\u00f1ado. Anteriormente, Lazarus Group lo explot\u00f3 a principios de 2021 para apuntar a investigadores de seguridad.<\/p>\n El marco multiplataforma MATA fue documentado por primera vez por la empresa rusa de ciberseguridad en julio de 2020, vincul\u00e1ndolo con el prol\u00edfico equipo patrocinado por el estado de Corea del Norte en ataques dirigidos a diversos sectores en Polonia, Alemania, Turqu\u00eda, Corea, Jap\u00f3n e India desde abril de 2018. .<\/p>\n Kaspersky revel\u00f3 previamente el uso de una versi\u00f3n renovada de MATA para atacar a contratistas de defensa en julio de 2023, aunque la atribuci\u00f3n al Grupo Lazarus sigue siendo, en el mejor de los casos, tenue debido a la presencia de t\u00e9cnicas utilizadas por actores de Five Eyes APT como Purple Lambert, Magenta Lambert. y Lambert Verde.<\/p>\n Dicho esto, la mayor\u00eda de los documentos maliciosos de Microsoft Word creados por los atacantes presentan una fuente coreana llamada Malgun Gothic, lo que sugiere que el desarrollador est\u00e1 familiarizado con el coreano o trabaja en un entorno coreano.<\/p>\n La empresa rusa de ciberseguridad Positive Technologies, que comparti\u00f3 detalles del mismo marco a finales del mes pasado, est\u00e1 rastreando a los operadores bajo el nombre de Dark River.<\/p>\n “La principal herramienta del grupo, la puerta trasera MataDoor, tiene una arquitectura modular, con un sistema de transporte de red complejo y minuciosamente dise\u00f1ado y opciones flexibles para la comunicaci\u00f3n entre el operador de la puerta trasera y una m\u00e1quina infectada”, afirman los investigadores de seguridad Denis Kuvshinov y Maxim Andreev. dicho<\/a>.<\/p>\n “El an\u00e1lisis del c\u00f3digo sugiere que los desarrolladores invirtieron considerables recursos en la herramienta”.<\/p>\n Las \u00faltimas cadenas de ataques comienzan cuando el actor env\u00eda documentos de phishing a los objetivos, en algunos casos haci\u00e9ndose pasar por empleados leg\u00edtimos, lo que indica un reconocimiento previo y una preparaci\u00f3n exhaustiva. Estos documentos incluyen un enlace a una p\u00e1gina HTML que incorpora un exploit para CVE-2021-26411.<\/p>\n Un compromiso exitoso conduce a la ejecuci\u00f3n de un cargador que, a su vez, recupera un m\u00f3dulo Validador de un servidor remoto para enviar informaci\u00f3n del sistema y descargar y cargar archivos hacia y desde el servidor de comando y control (C2).<\/p>\n El Validator tambi\u00e9n est\u00e1 dise\u00f1ado para recuperar MataDoor, que, seg\u00fan Kasperksy, es MATA generaci\u00f3n 4 que est\u00e1 equipado para ejecutar una amplia gama de comandos capaces de recopilar informaci\u00f3n confidencial de sistemas comprometidos.<\/p>\n Los ataques se caracterizan adem\u00e1s por el uso de malware ladr\u00f3n para capturar contenido del portapapeles, registrar pulsaciones de teclas, tomar capturas de pantalla y desviar contrase\u00f1as y cookies del Administrador de credenciales de Windows e Internet Explorer.<\/p>\n Otra herramienta digna de menci\u00f3n es un m\u00f3dulo de propagaci\u00f3n USB que permite enviar comandos al sistema infectado a trav\u00e9s de medios extra\u00edbles, lo que probablemente permita a los actores de amenazas infiltrarse en redes aisladas. Tambi\u00e9n se emplea un exploit llamado Devoluci\u00f3n de llamadaInfierno<\/a> para elevar privilegios y eludir los productos de seguridad de endpoints para lograr sus objetivos sin llamar la atenci\u00f3n.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/10\/El-sofisticado-marco-MATA-afecta-a-las-empresas-de-petroleo.jpg\")
<\/a><\/center><\/div>\n