Se ha observado que el actor de amenazas conocido como Gamaredon aprovecha Cloudflare Tunnels como t\u00e1ctica para ocultar su infraestructura de prueba que alberga un malware llamado GammaDrop.<\/p>\n
La actividad es parte de una campa\u00f1a de phishing dirigida a entidades ucranianas desde al menos principios de 2024 y que est\u00e1 dise\u00f1ada para eliminar el malware Visual Basic Script, dijo Insikt Group de Recorded Future en un nuevo an\u00e1lisis.<\/p>\n
La empresa de ciberseguridad est\u00e1 rastreando al actor de amenazas con el nombre de BlueAlpha, que tambi\u00e9n se conoce como Aqua Blizzard, Armageddon, Hive0051, Iron Tilden, Primitive Bear, Shuckworm, Trident Ursa, UAC-0010, UNC530 y Winterflounder. El grupo, que se cree que est\u00e1 activo desde 2014, est\u00e1 afiliado al Servicio Federal de Seguridad (FSB) de Rusia.<\/p>\n
“BlueAlpha ha comenzado recientemente a utilizar Cloudflare Tunnels para ocultar la infraestructura de prueba utilizada por GammaDrop, una t\u00e9cnica cada vez m\u00e1s popular utilizada por grupos de amenazas cibercriminales para implementar malware”, Insikt Group anotado<\/a>.<\/p>\n “BlueAlpha contin\u00faa utilizando el sistema de nombres de dominio (DNS) de flujo r\u00e1pido<\/a> de la infraestructura de comando y control (C2) de GammaLoad para complicar el seguimiento y la interrupci\u00f3n de las comunicaciones C2 para preservar el acceso a los sistemas comprometidos”.<\/p>\n El uso del t\u00fanel Cloudflare por parte del adversario fue previamente documentado<\/a> por la empresa eslovaca de ciberseguridad ESET en septiembre de 2024, como parte de ataques dirigidos a Ucrania y varios pa\u00edses de la OTAN, a saber, Bulgaria, Letonia, Lituania y Polonia.<\/p>\n Tambi\u00e9n caracteriz\u00f3 el oficio del actor de amenazas como imprudente y no particularmente centrado en el sigilo, a pesar de que se esfuerzan por “evitar ser bloqueados por productos de seguridad y se esfuerzan mucho por mantener el acceso a los sistemas comprometidos”.<\/p>\n “Gamaredon intenta preservar su acceso implementando m\u00faltiples descargadores simples o puertas traseras simult\u00e1neamente”, agreg\u00f3 ESET. “La falta de sofisticaci\u00f3n de las herramientas de Gamaredon se compensa con actualizaciones frecuentes y el uso de ofuscaciones que cambian peri\u00f3dicamente”.<\/p>\n Las herramientas est\u00e1n dise\u00f1adas principalmente para robar datos valiosos de aplicaciones web que se ejecutan en navegadores de Internet, clientes de correo electr\u00f3nico y aplicaciones de mensajer\u00eda instant\u00e1nea como Signal y Telegram, as\u00ed como descargar cargas \u00fatiles adicionales y propagar el malware a trav\u00e9s de unidades USB conectadas.<\/p>\n El \u00faltimo conjunto de ataques destacados por Recorded Future implica el env\u00edo de correos electr\u00f3nicos de phishing con archivos adjuntos HTML, que aprovechan una t\u00e9cnica llamada contrabando de HTML para activar el proceso de infecci\u00f3n a trav\u00e9s de c\u00f3digo JavaScript incrustado.<\/p>\n Los archivos adjuntos HTML, cuando se abren, sueltan un archivo 7-Zip (“56-27-11875.rar”) que incluye un archivo LNK malicioso, que utiliza mshta.exe para entregar GammaDrop, un gotero HTA responsable de escribir en el disco. un cargador personalizado llamado GammaLoad, que posteriormente establece contacto con un servidor C2 para recuperar malware adicional.<\/p>\n El artefacto GammaDrop se recupera de un servidor provisional que se encuentra detr\u00e1s de un t\u00fanel de Cloudflare alojado en el dominio amsterdam-sheet-veteran-aka.trycloudflare.[.]com.<\/p>\n Por su parte, GammaLoad hace uso de proveedores de DNS sobre HTTPS (DoH) como Google y Cloudflare para resolver la infraestructura C2 cuando falla el DNS tradicional. Tambi\u00e9n emplea una t\u00e9cnica DNS de flujo r\u00e1pido para recuperar la direcci\u00f3n C2 si falla el primer intento de comunicarse con el servidor.<\/p>\n “Es probable que BlueAlpha contin\u00fae perfeccionando las t\u00e9cnicas de evasi\u00f3n aprovechando servicios leg\u00edtimos y ampliamente utilizados como Cloudflare, complicando la detecci\u00f3n de los sistemas de seguridad tradicionales”, dijo Recorded Future.<\/p>\n “Las mejoras continuas en el contrabando de HTML y la persistencia basada en DNS probablemente plantear\u00e1n desaf\u00edos en evoluci\u00f3n, especialmente para las organizaciones con capacidades limitadas de detecci\u00f3n de amenazas”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/12\/Hackers-aprovechan-los-tuneles-de-Cloudflare-y-DNS-Fast-Flux-para.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/div>\n