Los actores rusos de amenaza cibern\u00e9tica han sido atribuido<\/a> a una campa\u00f1a patrocinada por el estado dirigida a entidades de log\u00edstica occidental y compa\u00f1\u00edas de tecnolog\u00eda desde 2022.<\/p>\n Se ha evaluado que la actividad est\u00e1 orquestada por APT28 (tambi\u00e9n conocido como BlueDelta, Fancy Bear o Forest Blizzard), que est\u00e1 vinculado al Centro de Servicio Especial Principal de la Direcci\u00f3n de Inteligencia del Estado Mayor General de Rusia (GRU) 85, Unidad Militar 26165.<\/p>\n Los objetivos de la campa\u00f1a incluyen compa\u00f1\u00edas involucradas en la coordinaci\u00f3n, el transporte y la entrega de asistencia extranjera a Ucrania, seg\u00fan un aviso conjunto publicado por agencias de Australia, Canad\u00e1, Checia, Dinamarca, Estonia, Francia, Alemania, Pa\u00edses Bajos, Polonia, el Reino Unido y los Estados Unidos.<\/p>\n “Esta campa\u00f1a orientada al ciberdemogr\u00e1fico dirigida a entidades de log\u00edstica y empresas de tecnolog\u00eda utiliza una combinaci\u00f3n de TTP revelados previamente y probablemente est\u00e1 conectado a la orientaci\u00f3n a gran escala de estos actores de las c\u00e1maras IP en Ucrania y limitando a las naciones de la OTAN”, el bolet\u00edn “, el bolet\u00edn dicho<\/a>.<\/p>\n La alerta se produce semanas despu\u00e9s de que el Ministerio de Relaciones Exteriores de Francia acus\u00f3 a APT28 de crecientes ataques cibern\u00e9ticos en una docena de entidades, incluidos ministerios, empresas de defensa, entidades de investigaci\u00f3n y think tanks desde 2021 en un intento de desestabilizar la naci\u00f3n. <\/p>\n Luego, la semana pasada, ESET retir\u00f3 las envolturas de una campa\u00f1a doblada Operation RoundPress que, seg\u00fan dijo, ha estado en curso desde 2023 al explotar las vulnerabilidades de secuencias de comandos de sitios cruzados (XSS) en varios servicios de correo web como RoundCube, Horde, Mdaemon y Zimbra para las empresas gubernamentales y las compa\u00f1\u00edas de defensa en el este de Europa, as\u00ed como las gobiernos en \u00c1frica, Europa y Am\u00e9rica del Sur. Y Am\u00e9rica del Sur.<\/p>\n Seg\u00fan el \u00faltimo aviso, se dice que los ataques cibern\u00e9ticos orquestados por APT28 involucraron una combinaci\u00f3n de pulverizaci\u00f3n de contrase\u00f1as, phishing de lanza y modificaci\u00f3n de permisos de buz\u00f3n de Microsoft Exchange para fines de espionaje.<\/p>\n Los objetivos principales de la campa\u00f1a incluyen organizaciones dentro de los Estados miembros de la OTAN y Ucrania que abarca la defensa, el transporte, el mar\u00edtimo, la gesti\u00f3n del tr\u00e1fico a\u00e9reo y los servicios de TI. Se estima que no menos de docenas de entidades en Bulgaria, Checia, Francia, Alemania, Grecia, Italia, Moldavia, Pa\u00edses Bajos, Polonia, Rumania, Eslovaquia, Ucrania y Estados Unidos. <\/p>\n Se dice que el acceso inicial a las redes espec\u00edficas se facilit\u00f3 aprovechando siete m\u00e9todos diferentes –<\/p>\n Una vez que los actores de la Unidad 26165 se establecen un punto de apoyo utilizando uno de los m\u00e9todos anteriores, los ataques proceden a la fase posterior a la explotaci\u00f3n, que implica realizar un reconocimiento para identificar objetivos adicionales en posiciones clave, individuos responsables de coordinar el transporte y otras compa\u00f1\u00edas que cooperan con la entidad v\u00edctima.<\/p>\n Los atacantes tambi\u00e9n se han observado utilizando herramientas como Impacket, PSEXEC y Protocolo de escritorio remoto (RDP) para el movimiento lateral, as\u00ed como Certipy y Adexplorer.exe para exfiltrar la informaci\u00f3n del Active Directory.<\/p>\n “Los actores tomar\u00edan medidas para localizar y exfiltrar listas de usuarios de Office 365 y configurar una colecci\u00f3n de correo electr\u00f3nico sostenida”, se\u00f1alaron las agencias. “Los actores utilizaron la manipulaci\u00f3n de los permisos de buz\u00f3n para establecer una colecci\u00f3n de correo electr\u00f3nico sostenida en entidades log\u00edsticas comprometidas”.<\/p>\n Otro rasgo notable de las intrusiones es el uso de familias de malware como Headlace y Masepie, para establecer la persistencia en los anfitriones comprometidos y la informaci\u00f3n sensible a la cosecha. No hay evidencia de que las variantes de malware como OceanMap y Steelhook se hayan utilizado para dirigir directamente a los sectores de log\u00edstica o TI.<\/p>\n Durante la exfiltraci\u00f3n de datos, los actores de amenaza se han basado en diferentes m\u00e9todos basados \u200b\u200ben el entorno de las v\u00edctimas, a menudo utilizando comandos de PowerShell para crear archivos postales para cargar los datos recopilados a sus propias infraestructura, o emplear servicios web de Exchange (EWS) y Protocolo de mensajes de acceso a Internet (IMAP) para enviar informaci\u00f3n de los servidores de correo electr\u00f3nico.<\/p>\n “A medida que las fuerzas militares rusas no cumplieron con sus objetivos militares y los pa\u00edses occidentales brindaron ayuda para apoyar a la defensa territorial de Ucrania, la Unidad 26165 ampli\u00f3 su orientaci\u00f3n a entidades log\u00edsticas y compa\u00f1\u00edas de tecnolog\u00eda involucradas en la entrega de ayuda”, dijeron las agencias. “Estos actores tambi\u00e9n se han dirigido a c\u00e1maras conectadas a Internet en los cruces fronterizos ucranianos para monitorear y rastrear los env\u00edos de ayuda”.<\/p>\n La divulgaci\u00f3n se produce cuando Cato Networks revel\u00f3 que los presuntos actores de amenazas rusas est\u00e1n aprovechando el almacenamiento de objetos de Tigris, el almacenamiento de objetos de Oracle Cloud Infrastructure (OCI) y el almacenamiento de objetos de escamas para alojar p\u00e1ginas falsas de Recaptcha que utilizan se\u00f1uelos de estilo ClickFix para enga\u00f1ar a los usuarios en la descarga de Lumma Stealer.<\/p>\n “La reciente campa\u00f1a que aprovecha el almacenamiento de objetos de Tigris, el almacenamiento de objetos OCI y el almacenamiento de objetos de escamas se basa en m\u00e9todos anteriores, introduciendo nuevos mecanismos de entrega destinados a evadir la detecci\u00f3n y dirigirse a usuarios t\u00e9cnicamente competentes”, investigadores Guile Domingo, Guy Waizel y Tomer Agayev dicho<\/a>.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/05\/Los-piratas-informaticos-rusos-explotan-el-correo-electronico-y-las.jpg\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n