El Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA) dijo el martes que frustr\u00f3 un ciberataque contra una instalaci\u00f3n de infraestructura energ\u00e9tica cr\u00edtica no identificada en el pa\u00eds.<\/p>\n
La intrusi\u00f3n, seg\u00fan la agencia, comenz\u00f3 con un correo electr\u00f3nico de phishing que conten\u00eda un enlace a un archivo ZIP malicioso que activa la cadena de infecci\u00f3n.<\/p>\n
“Al visitar el enlace, se descargar\u00e1 un archivo ZIP que contiene tres im\u00e1genes JPG (se\u00f1uelos) y un archivo BAT ‘weblinks.cmd’ en la computadora de la v\u00edctima”, CERT-UA dicho<\/a>atribuy\u00e9ndolo al actor de amenazas ruso conocido como APT28 (tambi\u00e9n conocido como BlueDelta, Fancy Bear, Forest Blizzard o FROZENLAKE).<\/p>\n “Cuando se ejecuta un archivo CMD, se abrir\u00e1n varias p\u00e1ginas web se\u00f1uelo, se crear\u00e1n archivos .bat y .vbs y se iniciar\u00e1 un archivo VBS, que a su vez ejecutar\u00e1 el archivo BAT”.<\/p>\n La siguiente fase del ataque implica ejecutar el comando “whoami” en el host comprometido y extraer la informaci\u00f3n, adem\u00e1s de descargar el servicio oculto TOR para enrutar el tr\u00e1fico malicioso.<\/p>\n La persistencia se logra mediante una tarea programada y la ejecuci\u00f3n remota de comandos se implementa usando cURL a trav\u00e9s de un servicio leg\u00edtimo llamado webhook.site, que recientemente se revel\u00f3 que lo utiliza un actor de amenazas conocido como Dark Pink.<\/p>\n CERT-UA dijo que el ataque finalmente no tuvo \u00e9xito debido al hecho de que el acceso a Mocky y Windows Script Host (wscript.exe<\/a>) estaba restringido. Vale la pena se\u00f1alar que APT28 se ha relacionado con el uso de API Mocky en el pasado.<\/p>\n Demasiado vulnerable: descubrir el estado de la superficie de ataque a la identidad<\/p>\n <\/a><\/p>\n \u00bfConsigui\u00f3 el MFA? \u00bfPAM? \u00bfProtecci\u00f3n de la cuenta de servicio? Descubra qu\u00e9 tan bien equipada est\u00e1 realmente su organizaci\u00f3n contra las amenazas a la identidad<\/p>\n Potencia tus habilidades<\/a><\/section>\n La revelaci\u00f3n se produce en medio continuos ataques de phishing<\/a> apuntando a Ucrania, algunos de los cuales han sido observado<\/a> aprovechando un motor de ofuscaci\u00f3n de malware listo para usar llamado ScruptCrypt para distribuir AsyncRAT.<\/p>\n Se dice que otro ciberataque montado por GhostWriter (tambi\u00e9n conocido como UAC-0057 o UNC1151) utiliz\u00f3 como arma una falla de d\u00eda cero recientemente revelada en WinRAR (CVE-2023-38831, puntuaci\u00f3n CVSS: 7,8) para implementar PicassoLoader y Cobalt Strike, la agencia dicho<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/El-nuevo-troyano-SuperBear-surge-en-un-ataque-de-phishing.png\")
<\/a><\/center><\/section>\n