El Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA) ha detallado una nueva campa\u00f1a de correo electr\u00f3nico malicioso dirigida a agencias gubernamentales, empresas y entidades militares.<\/p>\n
“Los mensajes explotan el atractivo de integrar servicios populares como Amazon o Microsoft e implementar una arquitectura de confianza cero”, CERT-UA dicho<\/a>. “Estos correos electr\u00f3nicos contienen archivos adjuntos en forma de archivos de configuraci\u00f3n del Protocolo de escritorio remoto (‘.rdp’).<\/p>\n Una vez ejecutados, los archivos RDP establecen una conexi\u00f3n con un servidor remoto, lo que permite a los actores de amenazas obtener acceso remoto a los hosts comprometidos, robar datos y plantar malware adicional para ataques posteriores.<\/p>\n Se cree que la preparaci\u00f3n de la infraestructura para la actividad ha estado en marcha desde al menos agosto de 2024, y la agencia afirm\u00f3 que es probable que salga de Ucrania y se dirija a otros pa\u00edses.<\/p>\n CERT-UA ha atribuido la campa\u00f1a a un actor de amenazas al que rastrea como UAC-0215. Amazon Web Service (AWS), en su propio aviso, lo vincul\u00f3 con el grupo de pirater\u00eda del estado-naci\u00f3n ruso conocido como APT29.<\/p>\n “Algunos de los nombres de dominio que utilizaron intentaron enga\u00f1ar a los objetivos haci\u00e9ndoles creer que los dominios eran dominios de AWS (no lo eran), pero Amazon no era el objetivo, ni el grupo que buscaba las credenciales de los clientes de AWS”, dijo CJ Moses, jefe de informaci\u00f3n de Amazon. oficial de seguridad, dicho<\/a>. “M\u00e1s bien, APT29 busc\u00f3 las credenciales de Windows de sus objetivos a trav\u00e9s de Microsoft Remote Desktop”.<\/p>\n El gigante tecnol\u00f3gico dijo que tambi\u00e9n se apoder\u00f3 de los dominios que el adversario estaba usando para hacerse pasar por AWS con el fin de neutralizar la operaci\u00f3n. Algunos de los dominios utilizados por APT29 se enumeran a continuaci\u00f3n:<\/p>\n El desarrollo se produce cuando CERT-UA tambi\u00e9n advirti\u00f3 sobre un ciberataque a gran escala destinado a robar informaci\u00f3n confidencial de usuarios ucranianos. La amenaza ha sido catalogada bajo el nombre de UAC-0218.<\/p>\n El punto de partida del ataque es un correo electr\u00f3nico de phishing que contiene un enlace a un archivo RAR con trampa explosiva que pretende ser facturas o detalles de pago.<\/p>\n Dentro del archivo hay un malware basado en Visual Basic Script denominado HOMESTEEL que est\u00e1 dise\u00f1ado para filtrar archivos que coinciden con ciertas extensiones (“xls”, “xlsx”, “doc”, “docx”, “pdf”, “txt”, “csv, ” “rtf”, “ods”, “odt”, “eml”, “pst”, “rar” y “zip”) a un servidor controlado por un atacante.<\/p>\n “De esta manera, los delincuentes pueden obtener acceso a datos personales, financieros y otros datos sensibles y utilizarlos para chantajear o robar”, CERT-UA dicho<\/a>.<\/p>\n Adem\u00e1s, CERT-UA tiene alertado<\/a> de una campa\u00f1a estilo ClickFix que est\u00e1 dise\u00f1ada para enga\u00f1ar a los usuarios con enlaces maliciosos incrustados en mensajes de correo electr\u00f3nico para colocar un script de PowerShell que es capaz de establecer un t\u00fanel SSH, robar datos de los navegadores web y descargar e iniciar el marco de prueba de penetraci\u00f3n Metasploit.<\/p>\n Los usuarios que hacen clic en el enlace son dirigidos a una p\u00e1gina de verificaci\u00f3n reCAPTCHA falsa que les solicita que verifiquen su identidad haciendo clic en un bot\u00f3n. Esta acci\u00f3n copia el script malicioso de PowerShell (“Browser.ps1”) al portapapeles del usuario y muestra una ventana emergente con instrucciones para ejecutarlo usando el cuadro de di\u00e1logo Ejecutar en Windows.<\/p>\n CERT-UA dijo que tiene un “nivel promedio de confianza” en que la campa\u00f1a es obra de otro actor ruso de amenazas persistentes avanzadas conocido como APT28 (tambi\u00e9n conocido como UAC-0001).<\/p>\n Las ciberofensivas contra Ucrania se producen en medio de una informe<\/a> de Bloomberg que detalla c\u00f3mo la agencia de inteligencia militar de Rusia y el Servicio Federal de Seguridad (FSB) atacaron sistem\u00e1ticamente la infraestructura y el gobierno de Georgia como parte de una serie de intrusiones digitales entre 2017 y 2020. Algunos de los ataques se han atribuido a Turla.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/CERT-UA-identifica-archivos-RDP-maliciosos-en-el-ultimo-ataque-a.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n