Esto incluye el uso indebido de Microsoft 365 Mail, Azure, Google Firebase y Dropbox para la entrega de malware, la exfiltraci\u00f3n de datos y el comando y control (C2).<\/p>\n
El vector de intrusi\u00f3n inicial utilizado en los ataques implica “focalizar con precisi\u00f3n” a los empleados a trav\u00e9s de mensajes de WhatsApp que contienen enlaces a enlaces de Dropbox a archivos supuestamente benignos.<\/p>\n
Los archivos, en realidad, albergan un cargador de malware cuya caracter\u00edstica principal es implementar puertas traseras personalizadas basadas en .NET, como CMD365 o CMDEmber, que aprovechan Microsoft 365 Mail y Google Firebase para C2.<\/p>\n
![\"espionaje](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/02\/1676599826_628_Nuevo-actor-de-amenazas-WIP26-dirigido-a-proveedores-de-servicios.png\" "\\"espionaje")
<\/div>\n
“La funcionalidad principal de CMD365 y CMDEmber es ejecutar los comandos del sistema proporcionados por el atacante utilizando el int\u00e9rprete de comandos de Windows”, dijeron los investigadores. “Esta capacidad se us\u00f3 para realizar una variedad de actividades, como reconocimiento, escalada de privilegios, puesta en escena de malware adicional y exfiltraci\u00f3n de datos”.<\/p>\n
CMD365, por su parte, funciona escaneando la carpeta de la bandeja de entrada en busca de correos electr\u00f3nicos espec\u00edficos que comiencen con la l\u00ednea de asunto “entrada” para extraer los comandos C2 para su ejecuci\u00f3n en los hosts infectados. CMDEmber, por otro lado, env\u00eda y recibe datos del servidor C2 mediante la emisi\u00f3n de solicitudes HTTP.<\/p>\n
La transmisi\u00f3n de los datos, que comprende la informaci\u00f3n del navegador web privado de los usuarios y los detalles sobre los hosts de alto valor en la red de la v\u00edctima, a instancias de Azure controladas por actores se organiza mediante comandos de PowerShell.<\/p>\n
El abuso de los servicios en la nube para fines nefastos no es desconocido, y la \u00faltima campa\u00f1a de WIP26 indica intentos continuos por parte de los actores de amenazas para evadir la detecci\u00f3n.<\/p>\n
Esta no es la primera vez que los proveedores de telecomunicaciones en el Medio Oriente est\u00e1n bajo el radar de los grupos de espionaje. En diciembre de 2022, Bitdefender revel\u00f3 detalles de una operaci\u00f3n denominada Diplomacia de puerta trasera<\/strong> dirigido a una empresa de telecomunicaciones de la regi\u00f3n para desviar datos valiosos.<\/p>\n<\/p>\n