El Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA) ha alertado sobre una campa\u00f1a de phishing dirigida a una instituci\u00f3n de investigaci\u00f3n cient\u00edfica del pa\u00eds con malware conocido como HATVIBE y CHERRYSPY.<\/p>\n
La agencia atribuido<\/a> el ataque a un actor de amenazas que rastrea bajo el nombre UAC-0063, que anteriormente se observ\u00f3 apuntando a varias entidades gubernamentales para recopilar informaci\u00f3n confidencial utilizando keyloggers y puertas traseras.<\/p>\n El ataque se caracteriza por el uso de una cuenta de correo electr\u00f3nico comprometida perteneciente a un empleado de la organizaci\u00f3n para enviar mensajes de phishing a “docenas” de destinatarios que contienen un archivo adjunto de Microsoft Word (DOCX) con macros.<\/p>\n Al abrir el documento y habilitar las macros se ejecuta una aplicaci\u00f3n HTML codificada (HTA) llamada HATVIBE, que configura la persistencia en el host mediante una tarea programada y allana el camino para una puerta trasera de Python con nombre en c\u00f3digo CHERRYSPY, que es capaz de ejecutar comandos emitidos por un servidor remoto.<\/p>\n CERT-UA afirm\u00f3 haber detectado “numerosos casos” de infecciones de HATVIBE que explotan una falla de seguridad conocida en el servidor de archivos HTTP (CVE-2024-23692, puntuaci\u00f3n CVSS: 9.8) para el acceso inicial.<\/p>\n Se ha asociado al UAC-0063 con un grupo de estado-naci\u00f3n vinculado a Rusia denominado APT28 con un nivel de confianza moderado. APT28, tambi\u00e9n conocido como BlueDelta, Fancy Bear, Forest Blizzard, FROZENLAKE, Iron Twilight, ITG05, Pawn Storm, Sednit, Sofacy y TA422, est\u00e1 afiliado a la unidad de inteligencia militar estrat\u00e9gica de Rusia, el GRU.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Instituciones-ucranianas-atacadas-con-malware-HATVIBE-y-CHERRYSPY.png\")
<\/a><\/center><\/section>\n