Entidades de alto perfil en la India se han convertido en el objetivo de campa\u00f1as maliciosas orquestadas por el actor de amenazas Transparent Tribe, con sede en Pakist\u00e1n, y un grupo de ciberespionaje previamente desconocido vinculado a China denominado IcePeony.<\/p>\n
Las intrusiones vinculadas a Transparent Tribe implican el uso de un malware llamado ElizaRAT y una nueva carga \u00fatil de ladr\u00f3n denominada ApoloStealer en v\u00edctimas espec\u00edficas de inter\u00e9s, dijo Check Point en un art\u00edculo t\u00e9cnico publicado esta semana.<\/p>\n
“Las muestras de ElizaRAT indican un abuso sistem\u00e1tico de los servicios basados \u200b\u200ben la nube, incluidos Telegram, Google Drive y Slack, para facilitar las comunicaciones de comando y control”, afirm\u00f3 la empresa israel\u00ed. dicho<\/a>.<\/p>\n ElizaRAT es una herramienta de acceso remoto (RAT) de Windows que se observ\u00f3 por primera vez que Transparent Tribe utilizaba en julio de 2023 como parte de ataques cibern\u00e9ticos dirigidos a sectores del gobierno indio. Activo desde al menos 2013, el adversario tambi\u00e9n es rastreado bajo los nombres APT36, Datebug, Earth Karkaddan, Mythic Leopard, Operation C-Major y PROJECTM.<\/p>\n Su arsenal de malware incluye herramientas para comprometer dispositivos Windows, Android y Linux. El mayor objetivo de las m\u00e1quinas Linux est\u00e1 motivado por el uso por parte del gobierno indio de una bifurcaci\u00f3n de Ubuntu personalizada llamada sistema operativo maya<\/a> desde el a\u00f1o pasado.<\/p>\n Las cadenas de infecci\u00f3n son iniciadas por archivos del Panel de control (CPL) probablemente distribuidos mediante t\u00e9cnicas de phishing. Se observaron hasta tres campa\u00f1as distintas que emplean RAT entre diciembre de 2023 y agosto de 2024, cada una utilizando Slack, Google Drive y un servidor privado virtual (VPS) para comando y control (C2).<\/p>\n Mientras que ElizaRAT permite a los atacantes ejercer un control total sobre el punto final objetivo, ApoloStealer est\u00e1 dise\u00f1ado para recopilar archivos que coincidan con varias extensiones (por ejemplo, DOC, XLS, PPT, TXT, RTF, ZIP, RAR, JPG y PNG) del host comprometido y exfiltrarlos a un servidor remoto.<\/p>\n En enero de 2024, se dice que el actor de amenazas modific\u00f3 el modus operandi para incluir un componente cuentagotas que garantiza el buen funcionamiento de ElizaRAT. Tambi\u00e9n se observ\u00f3 en ataques recientes un m\u00f3dulo ladr\u00f3n adicional con nombre en c\u00f3digo ConnectX que est\u00e1 dise\u00f1ado para buscar archivos desde unidades externas, como unidades USB.<\/p>\n El abuso de servicios leg\u00edtimos ampliamente utilizados en entornos empresariales aumenta la amenaza, ya que complica los esfuerzos de detecci\u00f3n y permite que los actores de amenazas se mezclen con actividades leg\u00edtimas en el sistema.<\/p>\n “La progresi\u00f3n de ElizaRAT refleja los esfuerzos deliberados de APT36 para mejorar su malware para evadir mejor la detecci\u00f3n y apuntar eficazmente a entidades indias”, dijo Check Point. “La introducci\u00f3n de nuevas cargas \u00fatiles como ApoloStealer marca una expansi\u00f3n significativa del arsenal de malware de APT36 y sugiere que el grupo est\u00e1 adoptando un enfoque modular m\u00e1s flexible para la implementaci\u00f3n de cargas \u00fatiles”.<\/p>\n La divulgaci\u00f3n se produce semanas despu\u00e9s de que el equipo de investigaci\u00f3n de nao_sec revelara que un grupo de amenazas persistentes avanzadas (APT) al que llama IcePeony se ha dirigido a agencias gubernamentales, instituciones acad\u00e9micas y organizaciones pol\u00edticas en pa\u00edses como India, Mauricio y Vietnam desde al menos 2023.<\/p>\n “Sus ataques normalmente comienzan con una inyecci\u00f3n SQL, seguida de un compromiso a trav\u00e9s de shells web y puertas traseras”, dijeron los investigadores de seguridad Rintaro Koike y Shota Nakajima. “En \u00faltima instancia, su objetivo es robar credenciales”.<\/p>\n Una de las herramientas m\u00e1s destacadas de su cartera de malware es IceCache, que est\u00e1 dise\u00f1ada para atacar instancias de Microsoft Internet Information Services (IIS). Un binario ELF escrito en el lenguaje de programaci\u00f3n Go, es un versi\u00f3n personalizada<\/a> del reGeorg<\/a> shell web con funciones adicionales de transmisi\u00f3n de archivos y ejecuci\u00f3n de comandos.<\/p>\n Los ataques tambi\u00e9n se caracterizan por el uso de una puerta trasera \u00fanica en modo pasivo denominada IceEvent que viene con capacidades para cargar\/descargar archivos y ejecutar comandos.<\/p>\n “Parece que los atacantes trabajan seis d\u00edas a la semana”, afirman los investigadores. anotado<\/a>. “Aunque son menos activos los viernes y s\u00e1bados, su \u00fanico d\u00eda libre completo parece ser el domingo. Esta investigaci\u00f3n sugiere que los atacantes no llevan a cabo estos ataques como actividades personales, sino que los realizan como parte de operaciones profesionales organizadas. “<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/IcePeony-y-Transparent-Tribe-se-dirigen-a-entidades-indias-con.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\nIcePeony persigue a India, Mauricio y Vietnam<\/h2>\n
<\/a><\/center><\/div>\n<\/a><\/div>\n