El actor de amenazas patrocinado por el estado iran\u00ed conocido como Plataforma petrolera<\/strong> implement\u00f3 tres descargadores de malware diferentes a lo largo de 2022 para mantener el acceso persistente a las organizaciones de v\u00edctimas ubicadas en Israel.<\/p>\n Los tres nuevos descargadores han sido denominados ODAgent, OilCheck y OilBooster por la empresa eslovaca de ciberseguridad ESET. Los ataques tambi\u00e9n implicaron el uso de una versi\u00f3n actualizada de un conocido descargador de OilRig denominado SampleCheck5000 (o SC5k).<\/p>\n “Estos descargadores ligeros […] se destacan por utilizar una de varias API leg\u00edtimas de servicios en la nube para [command-and-control] comunicaci\u00f3n y exfiltraci\u00f3n de datos: las API de Microsoft Graph OneDrive o Outlook, y la API de servicios web de Microsoft Office Exchange (EWS),” los investigadores de seguridad Zuzana Hromcov\u00e1 y Adam Burgher dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n Al utilizar proveedores de servicios en la nube de renombre para la comunicaci\u00f3n de comando y control, el objetivo es mezclarse con el tr\u00e1fico de red aut\u00e9ntico y encubrir la infraestructura de ataque del grupo.<\/p>\n Algunos de los objetivos de la campa\u00f1a incluyen una organizaci\u00f3n del sector de la salud, una empresa manufacturera y una organizaci\u00f3n gubernamental local, entre otros. Se dice que todas las v\u00edctimas hab\u00edan sido atacadas previamente por el actor de amenazas.<\/p>\n Supere las amenazas impulsadas por la IA con confianza cero: seminario web para profesionales de la seguridad<\/p>\n <\/a> <\/p>\n Las medidas de seguridad tradicionales no son suficientes en el mundo actual. Es hora de adoptar la seguridad Zero Trust. Proteja sus datos como nunca antes. <\/p>\n \u00danete ahora<\/a> <\/section>\n El vector de acceso inicial exacto utilizado para comprometer los objetivos no est\u00e1 claro actualmente y no se sabe si los atacantes lograron mantener su punto de apoyo en las redes para implementar estos descargadores en varios momentos en 2022.<\/p>\n OilRig, tambi\u00e9n conocido como APT34, Crambus, Cobalt Gypsy, Hazel Sandstorm (anteriormente EUROPIUM) y Helix Kitten, es un grupo de ciberespionaje iran\u00ed que se sabe que est\u00e1 activo desde al menos 2014 y utiliza una amplia gama de malware a su disposici\u00f3n para atacar entidades en Medio Oriente.<\/p>\n S\u00f3lo este a\u00f1o, se ha observado que el equipo de hackers aprovecha novedosos malware como MrPerfectionManager, PowerExchange, Solar, Mango y Menorah.<\/p>\n ODAgent, detectado por primera vez en febrero de 2022, es un descargador de C#\/.NET que utiliza la API de Microsoft OneDrive para comunicaciones de comando y control (C2), lo que permite al actor de amenazas descargar y ejecutar cargas \u00fatiles y filtrar archivos preparados.<\/p>\n SampleCheck5000, por otro lado, est\u00e1 dise\u00f1ado para interactuar con una cuenta de correo compartida de Microsoft Exchange para descargar y ejecutar herramientas OilRig adicionales utilizando la API de servicios web de Office Exchange (EWS).<\/p>\n OilBooster, al igual que ODAgent, utiliza la API de Microsoft OneDrive para C2, mientras que OilCheck adopta la misma t\u00e9cnica que SampleCheck5000 para extraer comandos incrustados en borradores de mensajes. Pero en lugar de utilizar la API de EWS, aprovecha la API de Microsoft Graph para las comunicaciones de red.<\/p>\n![\"Grupo](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/12\/El-grupo-OilRig-patrocinado-por-el-Estado-irani-implementa-tres.jpg\" "\\"Grupo")
<\/a><\/div>\n<\/a><\/div>\n