Un subgrupo dentro del infame grupo de pirater\u00eda patrocinado por el estado ruso conocido como Gusano de arena<\/strong> se ha atribuido a una operaci\u00f3n de acceso inicial de varios a\u00f1os denominado Badpilot que se extendi\u00f3 en todo el mundo.<\/p>\n “Este subgrupo ha realizado compromisos a nivel mundial de infraestructura orientada a Internet para permitir que Seashell Blizzard persista en objetivos de alto valor y admite operaciones de red personalizadas”, el equipo de inteligencia de amenazas de Microsoft dicho<\/a> En un nuevo informe compartido con The Hacker News antes de la publicaci\u00f3n.<\/p>\n La propagaci\u00f3n geogr\u00e1fica de los objetivos del subgrupo de acceso inicial incluye toda Am\u00e9rica del Norte, varios pa\u00edses de Europa, as\u00ed como otros, incluidos Angola, Argentina, Australia, China, Egipto, India, Kazajst\u00e1n, Myanmar, Nigeria, Pakist\u00e1n, Turqu\u00eda y Uzbekist\u00e1n.<\/p>\n El desarrollo marca una expansi\u00f3n significativa de la huella de la victimolog\u00eda del grupo de pirater\u00eda en los \u00faltimos tres a\u00f1os, que tambi\u00e9n se sabe que se concentra en Europa del Este,<\/p>\n Sandworm es rastreado por Microsoft bajo el apodo Seashell Blizzard (anteriormente Iridium), y por la comunidad de seguridad cibern\u00e9tica m\u00e1s amplia bajo los nombres APT44, Blue Echidna, Tornado FrozenBarents, Tornado gris, Iron Viking, Razing Ursa, Telebots, UaC-0002 y Voodoo Bear. Activo desde al menos 2013, se eval\u00faa que el grupo est\u00e1 afiliado a la Unidad 74455 dentro de la Direcci\u00f3n Principal del Estado Mayor de las Fuerzas Armadas de la Federaci\u00f3n Rusa (GRU).<\/p>\n El colectivo adversario ha sido descrito por Mandiant, propiedad de Google, como un actor de amenaza “altamente adaptable” y “operativamente maduro” que se involucra en el espionaje, el ataque e influye en las operaciones. Tambi\u00e9n tiene un historial de ataques disruptivos y destructivos contra Ucrania durante la \u00faltima d\u00e9cada.<\/p>\n Las campa\u00f1as montadas por Sandworm a ra\u00edz de la Guerra Ruso-Ukrainiana han aprovechado los limpiaparabrisas de datos (Killdisk, tambi\u00e9n conocido como Hermeticwiper), pseudo-ransomware (Prestige, tambi\u00e9n conocido como Presstea) y Backpaless (Kapeka), adem\u00e1s de las familias de malware que permiten a los actores de amenaza a mantener Acceso remoto persistente a hosts infectados a trav\u00e9s de Darkcrystal Rat (tambi\u00e9n conocido como DCRAT).<\/p>\n Tambi\u00e9n se ha observado depender de una variedad de empresas rusas y mercados criminales para obtener y mantener sus capacidades ofensivas, destacando un tendencia creciente<\/a> de delito cibern\u00e9tico que facilita la pirater\u00eda respaldada por el estado.<\/p>\n “El grupo ha utilizado herramientas e infraestructura de origen penal como fuente de capacidades desechables que pueden operacionalizarse a corto plazo sin enlaces inmediatos a sus operaciones pasadas”, el Grupo de Inteligencia de Amenazos de Google (GTIG) dicho<\/a> en un an\u00e1lisis.<\/p>\n “Desde la invasi\u00f3n a gran escala de Rusia de Ucrania, APT44 ha aumentado el uso de tales herramientas, incluido el malware como Darkcrystal Rat (DCRAT), Warzone y Radthief (‘Rhadamanthys Stealer’) e infraestructura de alojamiento a prueba de balas como la que proporciona la proporcionada por el El actor de habla rusa ‘Yalishanda’, que anuncia en comunidades subterr\u00e1neas cibercriminales “.<\/p>\n Microsoft dijo que el subgrupo de lombrices de arena ha estado operativo desde al menos finales de 2021, explotando varios defectos de seguridad conocidos para obtener acceso inicial, seguido de una serie de acciones posteriores a la explotaci\u00f3n destinadas a recopilar credenciales, lograr la ejecuci\u00f3n de comandos y apoyar el movimiento lateral.<\/p>\n “Las operaciones observadas despu\u00e9s del acceso inicial indican que esta campa\u00f1a permiti\u00f3 a Seashell Blizzard obtener acceso a objetivos globales en sectores sensibles, incluidos energ\u00eda, petr\u00f3leo y gas, telecomunicaciones, env\u00edo, fabricaci\u00f3n de armas, adem\u00e1s de los gobiernos internacionales”, se\u00f1al\u00f3 el gigante tecnol\u00f3gico.<\/p>\n “Este subgrupo ha sido habilitado por una capacidad escalable horizontalmente reforzada por haza\u00f1as publicadas que permitieron a Seashell Blizzard descubrir y comprometer numerosos sistemas orientados a Internet en una amplia gama de regiones y sectores geogr\u00e1ficos”.<\/p>\n Desde principios del a\u00f1o pasado, se dice que el sub-cl\u00faster ha armado vulnerabilidades en la pantalla de pantalla conectada (CVE-2024-1709) y Fortinet Forticlient EMS (CVE-2023-48788) para infiltrarse en objetivos en el Reino Unido y los Estados Unidos.<\/p>\n Los ataques llevados a cabo por el subgrupo implican una combinaci\u00f3n de ataques oportunistas de “rociar y rezar” e intrusiones espec\u00edficas que est\u00e1n dise\u00f1adas para mantener el acceso indiscriminado y realizar acciones de seguimiento para expandir el acceso a la red u obtener informaci\u00f3n confidencial.<\/p>\n Se cree que la amplia gama de compromisos ofrece a Seashell Blizzard una forma de cumplir con los objetivos estrat\u00e9gicos en constante evoluci\u00f3n de Kremlin, lo que permite que el atuendo de pirater\u00eda escala horizontalmente sus operaciones en diversos sectores a medida que se revelan los nuevos expectativas.<\/p>\n Hasta la fecha, hasta ocho vulnerabilidades de seguridad conocidas diferentes han sido explotadas por el subgrupo hasta la fecha, <\/p>\n El actor de amenaza que establece la persistencia a trav\u00e9s de tres m\u00e9todos diferentes, lo sucede exitoso.<\/p>\n “Este subgrupo, que se caracteriza dentro de la organizaci\u00f3n de Blizzard m\u00e1s amplia conhellhell por su alcance casi global, representa una expansi\u00f3n tanto en la orientaci\u00f3n geogr\u00e1fica realizada por Seashell Blizzard como en el alcance de sus operaciones”, dijo Microsoft.<\/p>\n “Al mismo tiempo, los m\u00e9todos de acceso oportunistas y de largo alcance de Seashell Blizzard probablemente ofrecen oportunidades expansivas de Rusia para operaciones y actividades de nicho que continuar\u00e1n siendo valiosos a mediano plazo”.<\/p>\n El desarrollo se produce cuando la empresa holandesa de ciberseguridad ECLECTICIQ vincul\u00f3 el grupo de lombrices de arena con otra campa\u00f1a que aprovecha los activadores pirateados de Microsoft Key Management Service (KMS) y las actualizaciones falsas de Windows para ofrecer una nueva versi\u00f3n de BackerDer, un descargador basado en Go que es responsable de obtener y ejecutar un carga \u00fatil de la segunda etapa desde un servidor remoto.<\/p>\n La orden de fondo, seg\u00fan Mandiant, generalmente se entrega dentro de los archivos del instalador troyano y est\u00e1 codificado para ejecutar el ejecutable de configuraci\u00f3n original. El objetivo final de la campa\u00f1a es entregar<\/a> Rata oscura<\/a>.<\/p>\n “La gran dependencia de Ucrania en el software agrietado, incluso en las instituciones gubernamentales, crea una superficie de ataque importante”, la investigadora de seguridad Arda B\u00fcy\u00fckkaya dicho<\/a>. “Muchos usuarios, incluidas las empresas y las entidades cr\u00edticas, han recurrido al software pirateado de fuentes no confiables, lo que brinda a adversarios como Sandworm (APT44) una mejor oportunidad para incrustar malware en programas ampliamente utilizados”.<\/p>\n El an\u00e1lisis de infraestructura adicional ha descubierto un rdp trasero RDP con nombre en c\u00f3digo Kalambur que est\u00e1 disfrazado de actualizaci\u00f3n de Windows, y que utiliza la red TOR para comando y control, as\u00ed como para implementar OpenSSH y habilitar el acceso remoto a trav\u00e9s del protocolo de escritorio remoto (RDP) en el puerto 3389.<\/p>\n “Al aprovechar el software troyanizado para infiltrarse en entornos ICS, Sandworm (APT44) contin\u00faa demostrando su objetivo estrat\u00e9gico de desestabilizar la infraestructura cr\u00edtica de Ucrania en apoyo de las ambiciones geopol\u00edticas rusas”, dijo B\u00fcy\u00fckkaya.<\/p>\n <\/p>\n\n
![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/Microsoft-descubre-los-ataques-ciberneticos-globales-del-subgrupo-de-Sandworm.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/div>\n<\/a><\/div>\n