Se ha observado que actores rusos de ciberespionaje afiliados al Servicio Federal de Seguridad (FSB) utilizan un gusano que se propaga por USB llamado vagabundo<\/strong> en ataques contra entidades ucranianas.<\/p>\n Punto de control, que detallado<\/a> Las \u00faltimas t\u00e1cticas de Gamaredon (tambi\u00e9n conocido como Aqua Blizzard, Iron Tilden, Primitive Bear, Shuckworm y Winterflounder), calificaron al grupo de participar en campa\u00f1as a gran escala seguidas de “esfuerzos de recopilaci\u00f3n de datos dirigidos a objetivos espec\u00edficos, cuya selecci\u00f3n probablemente est\u00e9 motivada por el espionaje”. objetivos.”<\/p>\n El gusano LitterDrifter incluye dos caracter\u00edsticas principales: propagar autom\u00e1ticamente el malware a trav\u00e9s de unidades USB conectadas y comunicarse con los servidores de comando y control (C&C) del actor de la amenaza. Tambi\u00e9n se sospecha que es una evoluci\u00f3n de un gusano USB basado en PowerShell que Symantec revel\u00f3 previamente en junio de 2023.<\/p>\n Escrito en VBS, el m\u00f3dulo esparcidor es responsable de distribuir el gusano como un archivo oculto en una unidad USB junto con un LNK se\u00f1uelo al que se le asignan nombres aleatorios. El malware recibe su nombre LitterDrifter debido al hecho de que el componente de orquestaci\u00f3n inicial se llama “trash.dll”.<\/p>\n “El enfoque de Gamaredon hacia C&C es bastante \u00fanico, ya que utiliza dominios como marcador de posici\u00f3n para las direcciones IP circulantes que realmente se utilizan como servidores C2”, explic\u00f3 Check Point.<\/p>\n LitterDrifter tambi\u00e9n es capaz de conectarse a un servidor C&C extra\u00eddo de un canal de Telegram, una t\u00e1ctica que ha utilizado repetidamente desde al menos principios de a\u00f1o.<\/p>\n La firma de ciberseguridad dijo que tambi\u00e9n detect\u00f3 signos de posible infecci\u00f3n fuera de Ucrania seg\u00fan los env\u00edos de VirusTotal de EE. UU., Vietnam, Chile, Polonia, Alemania y Hong Kong.<\/p>\n Gamaredon ha tenido una presencia activa este a\u00f1o, mientras evoluciona continuamente sus m\u00e9todos de ataque. En julio de 2023, las capacidades r\u00e1pidas de exfiltraci\u00f3n de datos del adversario salieron a la luz, y el actor de la amenaza transmiti\u00f3 informaci\u00f3n confidencial una hora despu\u00e9s del compromiso inicial.<\/p>\n “Est\u00e1 claro que LitterDrifter fue dise\u00f1ado para respaldar una operaci\u00f3n de recolecci\u00f3n a gran escala”, concluy\u00f3 la empresa. “Aprovecha t\u00e9cnicas simples pero efectivas para garantizar que pueda alcanzar el conjunto m\u00e1s amplio posible de objetivos en la regi\u00f3n”.<\/p>\n El desarrollo se produce cuando el Centro Nacional de Coordinaci\u00f3n de Ciberseguridad de Ucrania (NCSCC) revel\u00f3<\/a> ataques orquestados por piratas inform\u00e1ticos patrocinados por el estado ruso contra embajadas en toda Europa, incluidas Italia, Grecia, Rumania y Azerbaiy\u00e1n.<\/p>\n Las intrusiones, atribuidas a APT29 (tambi\u00e9n conocido como BlueBravo, Cloaked Ursa, Cozy Bear, Iron Hemlock, Midnight Blizzard y The Dukes), implican la explotaci\u00f3n de la vulnerabilidad WinRAR recientemente revelada (CVE-2023-38831) a trav\u00e9s de se\u00f1uelos de aspecto benigno que afirman ofrecer BMW a la venta, un tema que ha utilizado en el pasado.<\/p>\n La cadena de ataque comienza con el env\u00edo de correos electr\u00f3nicos de phishing a las v\u00edctimas que contienen un enlace a un archivo ZIP especialmente dise\u00f1ado que, cuando se inicia, explota la falla para recuperar un script de PowerShell desde un servidor remoto alojado en Ngrok.<\/p>\n “Una preocupante tendencia a explotar la vulnerabilidad CVE-2023-38831 por parte de grupos de pirater\u00eda de los servicios de inteligencia rusos demuestra su creciente popularidad y sofisticaci\u00f3n”, dijo el NCSCC.<\/p>\n A principios de esta semana, el Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA) desenterrado<\/a> una campa\u00f1a de phishing que propaga archivos RAR maliciosos que se hacen pasar por un documento PDF del Servicio de Seguridad de Ucrania (SBU) pero, en realidad, es un ejecutable que conduce al despliegue de Remcos RAT.<\/p>\n CERT-UA est\u00e1 rastreando la actividad bajo el nombre de UAC-0050, que tambi\u00e9n se vincul\u00f3 con otra serie de ataques cibern\u00e9ticos dirigidos a las autoridades estatales del pa\u00eds para entregar Remcos RAT en febrero de 2023.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/11\/Grupo-ruso-de-ciberespionaje-implementa-el-gusano-USB-LitterDrifter-en.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n