{"id":767034,"date":"2023-05-22T14:54:37","date_gmt":"2023-05-22T14:54:37","guid":{"rendered":"https:\/\/teknomers.com\/es\/el-reinado-extendido-de-bad-magic-en-el-espionaje-cibernetico-se-remonta-a-mas-de-una-decada\/"},"modified":"2023-05-22T14:54:41","modified_gmt":"2023-05-22T14:54:41","slug":"el-reinado-extendido-de-bad-magic-en-el-espionaje-cibernetico-se-remonta-a-mas-de-una-decada","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/el-reinado-extendido-de-bad-magic-en-el-espionaje-cibernetico-se-remonta-a-mas-de-una-decada\/","title":{"rendered":"El reinado extendido de Bad Magic en el espionaje cibern\u00e9tico se remonta a m\u00e1s de una d\u00e9cada"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>22 de mayo de 2023<\/span>\ue804<\/i>Ravie Lakshman\u00e1n<\/span><\/span>Ciberespionaje \/ Malware<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Los nuevos hallazgos sobre un grupo de piratas inform\u00e1ticos vinculado a los ataques cibern\u00e9ticos dirigidos a empresas en el \u00e1rea de conflicto ruso-ucraniana revelan que puede haber existido por mucho m\u00e1s tiempo de lo que se pensaba.<\/p>\n

El actor de amenazas, rastreado como mala magia<\/strong> (tambi\u00e9n conocido como Red Stinger), no solo se ha vinculado a una nueva y sofisticada campa\u00f1a, sino tambi\u00e9n a un grupo de actividades que sali\u00f3 a la luz por primera vez en mayo de 2016.<\/p>\n

“Si bien los objetivos anteriores estaban ubicados principalmente en las regiones de Donetsk, Luhansk y Crimea, el alcance ahora se ha ampliado para incluir a personas, entidades diplom\u00e1ticas y organizaciones de investigaci\u00f3n en el oeste y centro de Ucrania”, dijo la firma rusa de ciberseguridad Kaspersky. dicho<\/a> en un informe t\u00e9cnico publicado la semana pasada.<\/p>\n

La campa\u00f1a se caracteriza por el uso de un marco modular novedoso con nombre en c\u00f3digo CloudWizard, que presenta capacidades para tomar capturas de pantalla, grabar micr\u00f3fonos, registrar pulsaciones de teclas, obtener contrase\u00f1as y recolectar bandejas de entrada de Gmail.<\/p>\n

Bad Magic fue documentado por primera vez por la compa\u00f1\u00eda en marzo de 2023, detallando el uso por parte del grupo de una puerta trasera llamada PowerMagic (tambi\u00e9n conocida como DBoxShell o GraphShell) y un marco modular denominado CommonMagic en ataques dirigidos a los territorios de Ucrania ocupados por Rusia.<\/p>\n

Luego, a principios de este mes, Malwarebytes revel\u00f3 al menos cinco oleadas de ataques de espionaje realizados por el grupo desde diciembre de 2020.<\/p>\n

La informaci\u00f3n m\u00e1s profunda compartida por Kaspersky conecta Bad Magic con la actividad anterior basada en la combinaci\u00f3n de datos hist\u00f3ricos de telemetr\u00eda, lo que permite a la empresa identificar varios artefactos asociados con el marco CloudWizard.<\/p>\n

\"Espionaje<\/div>\n

Actualmente se desconoce el vector de acceso inicial utilizado para eliminar el instalador de la primera etapa. Dicho esto, el malware est\u00e1 configurado para soltar un servicio de Windows (“syncobjsup.dll”) y un segundo archivo (“mods.lrc”) que, a su vez, contiene tres m\u00f3dulos diferentes para recopilar y exfiltrar datos confidenciales.<\/p>\n

La informaci\u00f3n se transmite en forma cifrada a un punto final de almacenamiento en la nube controlado por el actor (OneDrive, Dropbox o Google Drive). Se utiliza un servidor web como mecanismo alternativo en caso de que no se pueda acceder a ninguno de los servicios.<\/p>\n

Kaspersky dijo que identific\u00f3 superposiciones de c\u00f3digo fuente entre una versi\u00f3n anterior de CloudWizard y otro malware conocido como Prikormka, que fue descubierto por la empresa de ciberseguridad eslovaca ESET en 2016.<\/p>\n\n\n\n\n
\"Espionaje<\/td>\n<\/tr>\n
Fuente de la imagen: ESET<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

La campa\u00f1a de espionaje, monitoreada por ESET bajo el alias Operaci\u00f3n Cebo<\/a>destac\u00f3 principalmente a los separatistas antigubernamentales en Donetsk y Luhansk y a los funcionarios del gobierno, pol\u00edticos y periodistas de Ucrania.<\/p>\n

Prikormka se implementa a trav\u00e9s de un cuentagotas contenido en archivos adjuntos de correo electr\u00f3nico maliciosos y presenta 13 componentes diferentes para recolectar varios tipos de datos de m\u00e1quinas comprometidas. La evidencia recopilada por ESET muestra que el malware se ha utilizado de forma selectiva desde al menos 2008.<\/p>\n

PR\u00d3XIMO SEMINARIO WEB<\/span><\/p>\n

Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n

Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n

Guardar mi asiento!<\/a><\/div>\n

CloudWizard tambi\u00e9n exhibe semejanzas con un conjunto de intrusi\u00f3n relacionado llamado error<\/a> eso fue revelado por CyberX (que desde entonces ha sido adquirido por Microsoft) en 2017, y la compa\u00f1\u00eda de ciberseguridad industrial lo describi\u00f3 como m\u00e1s avanzado que Groundbait.<\/p>\n

Tambi\u00e9n se han descubierto similitudes entre CloudWizard y CommonMagic, incluida la victimolog\u00eda y las superposiciones de c\u00f3digo fuente, lo que indica que el actor de amenazas ha estado ajustando repetidamente su arsenal de malware e infectando objetivos durante unos 15 a\u00f1os.<\/p>\n

\"Espionaje<\/div>\n

El \u00faltimo desarrollo, al atribuir el marco de CloudWizard al actor detr\u00e1s de Operation Groundbait y Operation BugDrop, proporciona otra pieza del rompecabezas que espera finalmente revelar una imagen m\u00e1s amplia de los or\u00edgenes del misterioso grupo.<\/p>\n

“El actor de amenazas responsable de estas operaciones ha demostrado un compromiso persistente y continuo con el ciberespionaje, mejorando continuamente su conjunto de herramientas y apuntando a organizaciones de inter\u00e9s durante m\u00e1s de 15 a\u00f1os”, dijo el investigador de Kaspersky Georgy Kucherin. dicho<\/a>.<\/p>\n

“Los factores geopol\u00edticos contin\u00faan siendo un motivador importante para los ataques de APT y, dada la tensi\u00f3n que prevalece en el \u00e1rea de conflicto ruso-ucraniana, anticipamos que este actor persistir\u00e1 con sus operaciones en el futuro previsible”.<\/p>\n

<\/p>\n

\u00bfEncontraste este art\u00edculo interesante? Siga con nosotros Gorjeo \uf099<\/i><\/a> y LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n