El gobierno ruso y las organizaciones de TI son el objetivo de una nueva campa\u00f1a que distribuye una serie de puertas traseras y troyanos como parte de una campa\u00f1a de phishing con nombre en c\u00f3digo Viento del este<\/b>.<\/p>\n
Las cadenas de ataque se caracterizan por el uso de archivos adjuntos en formato RAR que contienen un archivo de acceso directo de Windows (LNK) que, al abrirse, activa la secuencia de infecci\u00f3n, que culmina con el despliegue de malware como GrewApacha, una versi\u00f3n actualizada del backdoor CloudSorcerer y un implante previamente no documentado denominado PlugY.<\/p>\n
PlugY “se descarga a trav\u00e9s de la puerta trasera CloudSorcerer, tiene un amplio conjunto de comandos y admite tres protocolos diferentes para comunicarse con el servidor de comando y control”, dijo la empresa de ciberseguridad rusa Kaspersky. dicho<\/a>.<\/p>\n El vector de infecci\u00f3n inicial se basa en un archivo LNK con trampa explosiva, que emplea T\u00e9cnicas de carga lateral de DLL<\/a> para lanzar un archivo DLL malicioso que utiliza Dropbox como mecanismo de comunicaci\u00f3n para ejecutar comandos de reconocimiento y descargar cargas \u00fatiles adicionales.<\/p>\n Entre el malware distribuido mediante la DLL se encuentra GrewApacha, una puerta trasera conocida previamente<\/a> vinculado<\/a> al grupo APT31 vinculado a China. Tambi\u00e9n se lanz\u00f3 mediante carga lateral de DLL y utiliza un perfil de GitHub controlado por el atacante como resolver de punto muerto<\/a> para almacenar una cadena codificada en Base64 del servidor C2 real.<\/p>\n Por otro lado, CloudSorcerer es una sofisticada herramienta de ciberespionaje que se utiliza para el monitoreo oculto, la recopilaci\u00f3n de datos y la exfiltraci\u00f3n a trav\u00e9s de la infraestructura en la nube de Microsoft Graph, Yandex Cloud y Dropbox. Al igual que en el caso de GrewApacha, la variante actualizada aprovecha plataformas leg\u00edtimas como LiveJournal y Quora como servidor C2 inicial.<\/p>\n “Al igual que con las versiones anteriores de CloudSorcerer, las biograf\u00edas de los perfiles contienen un token de autenticaci\u00f3n cifrado para interactuar con el servicio en la nube”, dijo Kaspersky.<\/p>\n Adem\u00e1s, utiliza un mecanismo de protecci\u00f3n basado en cifrado que garantiza que el malware se detone solo en la computadora de la v\u00edctima mediante una clave \u00fanica derivada del sistema operativo Windows. Funci\u00f3n GetTickCount()<\/a> en tiempo de ejecuci\u00f3n.<\/p>\n La tercera familia de malware observada en los ataques es PlugY, una puerta trasera con todas las funciones que se conecta a un servidor de administraci\u00f3n mediante TCP, UDP o canales con nombre y viene con capacidades para ejecutar comandos de shell, monitorear la pantalla del dispositivo, registrar pulsaciones de teclas y capturar el contenido del portapapeles.<\/p>\n Kaspersky dijo que un an\u00e1lisis del c\u00f3digo fuente de PlugX descubri\u00f3 similitudes con una puerta trasera conocida llamada DRBControl (tambi\u00e9n conocida como Almejas<\/a>), que ha sido atribuido<\/a> a los grupos de amenazas del nexo con China identificados como APT27 y APT41. <\/p>\n “Los atacantes detr\u00e1s de la campa\u00f1a EastWind utilizaron servicios de red populares como servidores de comando: GitHub, Dropbox, Quora, as\u00ed como los rusos LiveJournal y Yandex Disk”, dijo la compa\u00f1\u00eda.<\/p>\n La revelaci\u00f3n viene de Kaspersky, quien tambi\u00e9n detall\u00f3 un ataque de abrevadero que implica comprometer un sitio leg\u00edtimo relacionado con el suministro de gas en Rusia para distribuir un gusano llamado CMoon que puede recolectar datos confidenciales y de pago, tomar capturas de pantalla, descargar malware adicional y lanzar ataques distribuidos de denegaci\u00f3n de servicio (DDoS) contra objetivos de inter\u00e9s.<\/p>\n El malware tambi\u00e9n recopila archivos y datos de varios navegadores web, billeteras de criptomonedas, aplicaciones de mensajer\u00eda instant\u00e1nea, clientes SSH, software FTP, aplicaciones de grabaci\u00f3n y transmisi\u00f3n de video, autenticadores, herramientas de escritorio remoto y VPN. <\/p>\n \u201cCMoon es un gusano escrito en .NET, con amplia funcionalidad para el robo de datos y control remoto\u201d, afirma dicho<\/a>“Inmediatamente despu\u00e9s de la instalaci\u00f3n, el archivo ejecutable comienza a monitorear las unidades USB conectadas. Esto le permite robar archivos de potencial inter\u00e9s para los atacantes desde medios extra\u00edbles, as\u00ed como copiar un gusano en ellos e infectar otros equipos donde se utilizar\u00e1 la unidad”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/El-ataque-de-EastWind-implementa-puertas-traseras-PlugY-y-GrewApacha.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n