El actor-Estado-naci\u00f3n ruso es seguido como Ventisca secreta<\/strong> Se ha observado que aprovecha el malware asociado con otros actores de amenazas para implementar una puerta trasera conocida llamada Kazuar en dispositivos objetivo ubicados en Ucrania.<\/p>\n Los nuevos hallazgos provienen del equipo de inteligencia de amenazas de Microsoft, que dijo que observ\u00f3 que el adversario aprovechaba el malware bot Amadey para descargar malware personalizado en sistemas “espec\u00edficamente seleccionados” asociados con el ej\u00e9rcito ucraniano entre marzo y abril de 2024.<\/p>\n Se considera que la actividad es la segunda vez desde 2022 que Secret Blizzard, tambi\u00e9n conocida como Turla, se ha aferrado a una campa\u00f1a de cibercrimen para propagar sus propias herramientas en Ucrania.<\/p>\n “Controlar el acceso de otros actores de amenazas resalta el enfoque de Secret Blizzard para diversificar sus vectores de ataque”, dijo la compa\u00f1\u00eda en un informe<\/a> compartido con The Hacker News.<\/p>\n Algunos de los otros m\u00e9todos conocidos empleados por el equipo de pirater\u00eda incluyen el adversario en el medio (AitM<\/a>) campa\u00f1as, compromisos web estrat\u00e9gicos<\/a> (tambi\u00e9n conocidos como ataques de abrevadero) y phishing.<\/p>\n Secret Blizzard tiene un historial de apuntar a varios sectores para facilitar el acceso encubierto a largo plazo para la recopilaci\u00f3n de inteligencia, pero su enfoque principal est\u00e1 en los ministerios de relaciones exteriores, embajadas, oficinas gubernamentales, departamentos de defensa y empresas relacionadas con la defensa en todo el mundo.<\/p>\n El \u00faltimo informe llega una semana despu\u00e9s de que el gigante tecnol\u00f3gico, junto con Lumen Technologies Black Lotus Labs, revelara el secuestro por parte de Turla de 33 servidores de comando y control (C2) de un grupo de hackers con sede en Pakist\u00e1n llamado Storm-0156 para llevar a cabo sus propias operaciones. .<\/p>\n Los ataques contra entidades ucranianas implican requisa bots amadey<\/a> implementar una puerta trasera conocida como tavdig<\/a>que luego se utiliza para instalar una versi\u00f3n actualizada de Kazuar, que fue documentada por la Unidad 42 de Palo Alto Networks en noviembre de 2023.<\/p>\n Microsoft est\u00e1 rastreando la actividad cibercriminal vinculada a Amadey, que a menudo incluye la ejecuci\u00f3n del minero de criptomonedas XMRig, bajo el nombre de Storm-1919.<\/p>\n Se cree que Secret Blizzard utiliz\u00f3 el malware como servicio (MaaS) de Amadey o accedi\u00f3 sigilosamente a los paneles de comando y control (C2) de Amadey para descargar un cuentagotas de PowerShell en los dispositivos de destino. El dropper comprende una carga \u00fatil de Amadey codificada en Base64 a la que se le a\u00f1ade un segmento de c\u00f3digo, que vuelve a llamar a un servidor Turla C2.<\/p>\n “La necesidad de codificar el cuentagotas de PowerShell con una URL C2 separada controlada por Secret Blizzard podr\u00eda indicar que Secret Blizzard no ten\u00eda el control directo del mecanismo C2 utilizado por el bot Amadey”, dijo Microsoft.<\/p>\n La siguiente fase implica descargar una herramienta de reconocimiento personalizada con el objetivo de recopilar detalles sobre el dispositivo v\u00edctima y probablemente verificar si Microsoft Defender estaba habilitado, lo que en \u00faltima instancia permite al actor de la amenaza concentrarse en los sistemas que son de mayor inter\u00e9s.<\/p>\n En esta etapa, el ataque procede a implementar un cuentagotas de PowerShell que contiene la puerta trasera Tavdig y un binario leg\u00edtimo de Symantec que es susceptible a la carga lateral de DLL. Tavdig, por su parte, se utiliza para realizar reconocimientos adicionales y lanzar KazuarV2.<\/p>\n Microsoft dijo que tambi\u00e9n detect\u00f3 que el actor de amenazas reutilizaba una puerta trasera de PowerShell vinculada a un grupo de hackers diferente con sede en Rusia llamado Flying Yeti (tambi\u00e9n conocido como Storm-1837 y UAC-0149) para implementar un cuentagotas de PowerShell que incorpora Tavdig.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/12\/Secret-Blizzard-implementa-la-puerta-trasera-Kazuar-en-Ucrania-utilizando.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n