Las entidades gubernamentales, las organizaciones militares y los usuarios civiles en Ucrania y Polonia han sido objeto de una serie de campa\u00f1as dise\u00f1adas para robar datos confidenciales y obtener acceso remoto persistente a los sistemas infectados.<\/p>\n
El conjunto de intrusiones, que se extiende desde abril de 2022 hasta julio de 2023, aprovecha los se\u00f1uelos de phishing y los documentos se\u00f1uelo para implementar un malware de descarga llamado PicassoLoader, que act\u00faa como un conducto para lanzar Cobalt Strike Beacon y njRAT.<\/p>\n
“Los ataques utilizaron una cadena de infecci\u00f3n de varias etapas iniciada con documentos maliciosos de Microsoft Office, m\u00e1s com\u00fanmente utilizando formatos de archivo de Microsoft Excel y PowerPoint”, dijo el investigador de Cisco Talos, Vanja Svajcer. dicho<\/a> en un nuevo informe. “Esto fue seguido por un descargador ejecutable y una carga \u00fatil oculta en un archivo de imagen, lo que probablemente dificulte su detecci\u00f3n”.<\/p>\n Alguno<\/a> del actividades<\/a> se han atribuido a un actor de amenazas llamado GhostWriter (tambi\u00e9n conocido como UAC-0057 o UNC1151), cuyas prioridades se dice que se alinean con el gobierno de Bielorrusia.<\/p>\n Vale la pena se\u00f1alar que un subconjunto de estos ataques ya ha sido documentado durante el a\u00f1o pasado por el Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA) y Fortinet FortiGuard Labs, uno de los cuales emple\u00f3 documentos de PowerPoint cargados de macros para entregar el malware Agent Tesla en julio de 2022. .<\/p>\n Las cadenas de infecci\u00f3n tienen como objetivo convencer a las v\u00edctimas para que habiliten las macros, con la macro VBA dise\u00f1ada para soltar un descargador de DLL conocido como PicassoLoader que luego llega a un sitio controlado por el atacante para obtener la carga \u00fatil de la siguiente etapa, un archivo de imagen leg\u00edtimo que incrusta la \u00faltima programa malicioso<\/p>\n La divulgaci\u00f3n se produce cuando CERT-UA detall\u00f3 un n\u00famero<\/a> de suplantaci\u00f3n de identidad<\/a> operaciones<\/a> distribuir el malware SmokeLoader, as\u00ed como un ataque de smishing<\/a> dise\u00f1ado para obtener el control no autorizado de las cuentas de Telegram de los objetivos.<\/p>\n El mes pasado, CERT-UA revel\u00f3 una campa\u00f1a de ciberespionaje<\/a> dirigido a organizaciones estatales y representantes de los medios en Ucrania que utiliza correo electr\u00f3nico y mensajer\u00eda instant\u00e1nea para distribuir archivos que, cuando se inician, dan como resultado la ejecuci\u00f3n de un script de PowerShell llamado LONEPAGE para obtener el ladr\u00f3n de navegadores de pr\u00f3xima etapa (THUMBCHOP) y el registrador de teclas (CLOGFLAG ) cargas \u00fatiles.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n \u00danete hoy<\/a><\/section>\n GhostWriter es uno de los muchos actores de amenazas que han puesto sus ojos en Ucrania. Esto tambi\u00e9n incluye al grupo de estado-naci\u00f3n ruso APT28, que ha sido observado<\/a> utilizando archivos adjuntos HTML en correos electr\u00f3nicos de phishing que solicitan a los destinatarios que cambien su UKR.NET y Yahoo! contrase\u00f1as debido a actividad sospechosa detectada en sus cuentas para redirigirlas a p\u00e1ginas de destino falsas que finalmente roban sus credenciales.<\/p>\n El desarrollo tambi\u00e9n sigue a la adopci\u00f3n de un “libro de jugadas est\u00e1ndar de cinco fases” por parte de piratas inform\u00e1ticos asociados con la inteligencia militar rusa (GRU) en sus operaciones disruptivas contra Ucrania en un “esfuerzo deliberado para aumentar la velocidad, la escala y la intensidad” de sus ataques. .<\/p>\n Esto comprende aprovechar la infraestructura de vida en el borde para obtener acceso inicial, utilizando t\u00e9cnicas de vida fuera de la tierra para realizar reconocimiento, movimiento lateral y robo de informaci\u00f3n para limitar su huella de malware y evadir la detecci\u00f3n, creando acceso persistente y privilegiado. a trav\u00e9s de objetos de pol\u00edtica de grupo (GPO), implementando limpiaparabrisas y telegrafiando sus actos a trav\u00e9s de personas hacktivistas en Telegram.<\/p>\n “Los beneficios que ofrece el libro de jugadas son notablemente adecuados para un entorno operativo de ritmo r\u00e1pido y muy disputado, lo que indica que los objetivos de Rusia en tiempos de guerra probablemente han guiado los cursos de acci\u00f3n t\u00e1cticos elegidos por GRU”, Mandiant, propiedad de Google. dicho<\/a>.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/07\/1689273418_145_El-software-malicioso-PicassoLoader-utilizado-en-los-ataques-en-curso.jpg\")
<\/div>\n