Se ha observado que el actor de amenazas APT29 vinculado a Rusia reutiliza una metodolog\u00eda leg\u00edtima de ataque de equipo rojo como parte de ataques cibern\u00e9ticos que aprovechan archivos de configuraci\u00f3n maliciosos del Protocolo de escritorio remoto (RDP).<\/p>\n
La actividad, que ha tenido como objetivo gobiernos y fuerzas armadas, grupos de expertos, investigadores acad\u00e9micos y entidades ucranianas, implica la adopci\u00f3n de una t\u00e9cnica “PDR deshonesta” que fue previamente documentado<\/a> por Black Hills Information Security en 2022, dijo Trend Micro en un informe.<\/p>\n “Una v\u00edctima de esta t\u00e9cnica dar\u00eda control parcial de su m\u00e1quina al atacante, lo que podr\u00eda provocar una fuga de datos e instalaci\u00f3n de malware”, afirman los investigadores Feike Hacquebord y Stephen Hilt. dicho<\/a>.<\/p>\n La empresa de ciberseguridad est\u00e1 rastreando al grupo de amenazas bajo su propio apodo Earth Koshchei, afirmando que los preparativos para la campa\u00f1a comenzaron el 7 y 8 de agosto de 2024. Las campa\u00f1as de RDP tambi\u00e9n fueron destacadas por el Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA). , Microsoft y Amazon Web Services (AWS) en octubre.<\/p>\n Los correos electr\u00f3nicos de phishing fueron dise\u00f1ados para enga\u00f1ar a los destinatarios para que lanzaran un archivo de configuraci\u00f3n RDP malicioso adjunto al mensaje, lo que provocaba que sus m\u00e1quinas se conectaran a un servidor RDP externo a trav\u00e9s de uno de los 193 repetidores RDP del grupo. Se calcula que en un solo d\u00eda se atacaron unas 200 v\u00edctimas de alto perfil, lo que indica la magnitud de la campa\u00f1a.<\/p>\n El m\u00e9todo de ataque descrito por Black Hill implica el uso de un proyecto de c\u00f3digo abierto llamado PyRDP<\/a> \u2013 descrito como una “herramienta y biblioteca Monster-in-the-Middle (MitM)” basada en Python, frente al servidor RDP real controlado por el adversario para minimizar el riesgo de detecci\u00f3n.<\/p>\n Por lo tanto, cuando una v\u00edctima abre el archivo RDP, con nombre en c\u00f3digo HUSTLECON, desde el mensaje de correo electr\u00f3nico, inicia una conexi\u00f3n RDP saliente al rel\u00e9 PyRDP, que luego redirige la sesi\u00f3n a un servidor malicioso.<\/p>\n “Al establecer la conexi\u00f3n, el servidor fraudulento imita el comportamiento de un servidor RDP leg\u00edtimo y explota la sesi\u00f3n para llevar a cabo diversas actividades maliciosas”, dijeron los investigadores. “Un vector de ataque principal implica que el atacante implemente scripts maliciosos o altere la configuraci\u00f3n del sistema en la m\u00e1quina de la v\u00edctima”.<\/p>\n Adem\u00e1s de eso, el servidor proxy PyRDP permite al atacante obtener acceso a los sistemas de la v\u00edctima, realizar operaciones con archivos e inyectar cargas \u00fatiles maliciosas. El ataque culmina cuando el actor de la amenaza aprovecha la sesi\u00f3n RDP comprometida para filtrar datos confidenciales, incluidas credenciales y otra informaci\u00f3n patentada, a trav\u00e9s del proxy.<\/p>\n Lo notable de este ataque es que la recopilaci\u00f3n de datos se facilita mediante un archivo de configuraci\u00f3n malicioso sin tener que implementar ning\u00fan malware personalizado, lo que permite que los actores de la amenaza pasen desapercibidos.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/12\/Los-piratas-informaticos-de-APT29-se-dirigen-a-victimas-de.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n