El grupo ruso de ciberespionaje conocido como turla<\/b> se ha observado aprovechando la infraestructura de ataque utilizada por un malware de hace una d\u00e9cada para entregar sus propias herramientas de reconocimiento y puerta trasera a objetivos en Ucrania.<\/p>\n
Mandiant, propiedad de Google, que est\u00e1 rastreando la operaci\u00f3n bajo el nombre de cl\u00faster no categorizado UNC4210<\/strong>dijo que los servidores secuestrados corresponden a una variante de un malware b\u00e1sico llamado ANDROMEDA (tambi\u00e9n conocido como Gamarue) que se subi\u00f3 a VirusTotal en 2013.<\/p>\n “UNC4210 volvi\u00f3 a registrar al menos tres dominios de comando y control (C2) ANDROMEDA vencidos y comenz\u00f3 a perfilar v\u00edctimas para implementar selectivamente KOPILUWAK y QUIETCANARY en septiembre de 2022”, investigadores de Mandiant dicho<\/a> en un an\u00e1lisis publicado la semana pasada.<\/p>\n Turla, tambi\u00e9n conocido con los nombres de Iron Hunter, Krypton, Uroburos, Venomous Bear y Waterbug, es un equipo de \u00e9lite de un estado-naci\u00f3n que se dirige principalmente a organizaciones gubernamentales, diplom\u00e1ticas y militares que utilizan un gran conjunto de malware personalizado.<\/p>\n Desde el inicio de la invasi\u00f3n militar rusa de Ucrania en febrero de 2022, el colectivo adversario ha estado vinculado a una serie de esfuerzos de reconocimiento y phishing de credenciales dirigidos a entidades ubicadas en el pa\u00eds.<\/p>\n En julio de 2022, el Grupo de an\u00e1lisis de amenazas (TAG) de Google revel\u00f3 que Turla cre\u00f3 una aplicaci\u00f3n de Android maliciosa para supuestamente “ayudar” a los hacktivistas pro-ucranianos a lanzar ataques de denegaci\u00f3n de servicio distribuido (DDoS) contra sitios rusos.<\/p>\n El \u00faltimo descubrimiento de Mandiant muestra que Turla ha estado cooptando sigilosamente infecciones antiguas como mecanismo de distribuci\u00f3n de malware, sin mencionar el hecho de que ANDROMEDA se propaga a trav\u00e9s de llaves USB infectadas.<\/p>\n “El malware que se propaga por USB sigue siendo un vector \u00fatil para obtener acceso inicial a las organizaciones”, dijo la firma de inteligencia de amenazas.<\/p>\n En el incidente analizado por Mandiant, se dice que se insert\u00f3 una memoria USB infectada en una organizaci\u00f3n ucraniana no identificada en diciembre de 2021, lo que finalmente condujo al despliegue de un artefacto heredado de ANDROMEDA<\/a> en el host al iniciar un archivo de enlace malicioso (.LNK) que se hace pasar por una carpeta dentro de la unidad USB.<\/p>\n Luego, el actor de amenazas reutiliz\u00f3 uno de los dominios inactivos que formaban parte de la infraestructura C2 extinta de ANDROMEDA, que volvi\u00f3 a registrar en enero de 2022, para perfilar a la v\u00edctima al entregar la primera etapa. KOPILUWAK<\/a> cuentagotas, una utilidad de reconocimiento de red basada en JavaScript.<\/p>\n Dos d\u00edas despu\u00e9s, el 8 de septiembre de 2022, el ataque pas\u00f3 a la fase final con la ejecuci\u00f3n de un implante basado en .NET denominado QUIETCANARY (tambi\u00e9n conocido como Tunnus<\/a>), lo que resulta en la exfiltraci\u00f3n de archivos creados despu\u00e9s del 1 de enero de 2021.<\/p>\n El oficio empleado por Turla encaja con los informes anteriores de los extensos esfuerzos de perfilado de v\u00edctimas del grupo que coincidieron con la guerra ruso-ucraniana, lo que podr\u00eda ayudarlo a adaptar sus esfuerzos de explotaci\u00f3n posteriores para recopilar la informaci\u00f3n de inter\u00e9s para Rusia.<\/p>\n Tambi\u00e9n es uno de los raros casos en los que se ha identificado una unidad de pirater\u00eda dirigida a las v\u00edctimas de una campa\u00f1a de malware diferente para cumplir sus propios objetivos estrat\u00e9gicos, al mismo tiempo que oscurece su funci\u00f3n.<\/p>\n “A medida que el malware ANDROMEDA m\u00e1s antiguo contin\u00faa propag\u00e1ndose desde dispositivos USB comprometidos, estos dominios registrados nuevamente representan un riesgo ya que los nuevos actores de amenazas pueden tomar el control y entregar nuevo malware a las v\u00edctimas”, dijeron los investigadores.<\/p>\n “Esta t\u00e9cnica novedosa de reclamar dominios caducados utilizados por malware de amplia distribuci\u00f3n y motivado financieramente puede permitir compromisos de seguimiento en una amplia gama de entidades. Adem\u00e1s, es m\u00e1s probable que los defensores pasen por alto el malware y la infraestructura m\u00e1s antiguos al clasificar una amplia variedad de alertas. .”<\/p>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/01\/1673163861_899_Hackers-rusos-de-Turla-secuestran-infraestructura-de-malware-de-una.png\")
<\/div>\nCOLDRIVER apunta a los laboratorios de investigaci\u00f3n nuclear de EE. UU.<\/h3>\n