Un grupo de amenaza persistente avanzada (APT) no documentado previamente denominado Hechicero de las nubes<\/strong> Se ha observado que ataca a entidades gubernamentales rusas aprovechando los servicios en la nube para comando y control (C2) y exfiltraci\u00f3n de datos.<\/p>\n La empresa de ciberseguridad Kaspersky, que descubri\u00f3 la actividad en mayo de 2024, se\u00f1al\u00f3 que la estrategia adoptada por el actor de amenazas guarda similitudes con la de CloudWizard, pero se\u00f1al\u00f3 las diferencias en el c\u00f3digo fuente del malware. Los ataques utilizan un innovador programa de recopilaci\u00f3n de datos y una serie de t\u00e1cticas de evasi\u00f3n para ocultar sus rastros.<\/p>\n “Es una sofisticada herramienta de ciberespionaje utilizada para monitoreo oculto, recolecci\u00f3n de datos y exfiltraci\u00f3n a trav\u00e9s de la infraestructura en la nube de Microsoft Graph, Yandex Cloud y Dropbox”, dijo el proveedor de seguridad ruso. dicho<\/a>.<\/p>\n “El malware utiliza recursos de la nube como servidores de comando y control (C2), a los que accede a trav\u00e9s de API mediante tokens de autenticaci\u00f3n. Adem\u00e1s, CloudSorcerer utiliza GitHub como su servidor C2 inicial”.<\/p>\n Actualmente se desconoce el m\u00e9todo exacto utilizado para infiltrarse en los objetivos, pero el acceso inicial se aprovecha para colocar un binario ejecutable portable basado en C que se utiliza como puerta trasera, iniciar comunicaciones C2 o inyectar shellcode en otros procesos leg\u00edtimos seg\u00fan el proceso en el que se ejecuta, es decir, mspaint.exe, msiexec.exe o que contiene la cadena “browser”.<\/p>\n “La capacidad del malware de adaptar din\u00e1micamente su comportamiento en funci\u00f3n del proceso en el que se ejecuta, junto con su uso de una comunicaci\u00f3n compleja entre procesos a trav\u00e9s de canales de Windows, resalta a\u00fan m\u00e1s su sofisticaci\u00f3n”, se\u00f1al\u00f3 Kaspersky.<\/p>\n El componente de puerta trasera est\u00e1 dise\u00f1ado para recopilar informaci\u00f3n sobre la m\u00e1quina v\u00edctima y recuperar instrucciones para enumerar archivos y carpetas, ejecutar comandos de shell, realizar operaciones de archivos y ejecutar cargas \u00fatiles adicionales.<\/p>\n El m\u00f3dulo C2, por su parte, se conecta a una p\u00e1gina de GitHub que act\u00faa como un resolver de punto muerto<\/a> para obtener una cadena hexadecimal codificada que apunte al servidor real alojado en Microsoft Graph o Yandex Cloud.<\/p>\n “Alternativamente, en lugar de conectarse a GitHub, CloudSorcerer tambi\u00e9n intenta obtener los mismos datos de hxxps:\/\/my.mail[.]”ru\/, que es un servidor ruso de alojamiento de fotograf\u00edas en la nube”, dijo Kaspersky. “El nombre del \u00e1lbum de fotograf\u00edas contiene la misma cadena hexadecimal”.<\/p>\n “El malware CloudSorcerer representa un conjunto de herramientas sofisticadas que apuntan a las entidades gubernamentales rusas. Su uso de servicios en la nube como Microsoft Graph, Yandex Cloud y Dropbox para la infraestructura C2, junto con GitHub para las comunicaciones iniciales C2, demuestra un enfoque bien planificado para el espionaje cibern\u00e9tico”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Nuevo-grupo-APT-quotHechicero-de-las-nubesquot-Ataques-a-entidades.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n