Un actor de amenazas previamente indocumentado apodado hombre de arena<\/strong> se ha atribuido a una serie de ciberataques dirigidos a proveedores de comunicaciones de telecomunicaciones en Oriente Medio, Europa occidental y el subcontinente del sur de Asia.<\/p>\n En particular, las intrusiones aprovechan un compilador justo a tiempo (JIT) para el lenguaje de programaci\u00f3n Lua conocido como LuaJIT como veh\u00edculo para implementar un nuevo implante llamado LuaDream<\/b>.<\/p>\n “Las actividades que observamos se caracterizan por un movimiento lateral estrat\u00e9gico hacia estaciones de trabajo espec\u00edficas y un compromiso m\u00ednimo, lo que sugiere un enfoque deliberado destinado a lograr los objetivos establecidos y al mismo tiempo minimizar el riesgo de detecci\u00f3n”, dijo el investigador de seguridad de SentinelOne, Aleksandar Milenkoski. dicho<\/a> en un an\u00e1lisis publicado en colaboraci\u00f3n con QGroup.<\/p>\n “La implementaci\u00f3n de LuaDream indica un proyecto bien ejecutado, mantenido y desarrollado activamente a una escala considerable.”<\/p>\n Ni la campa\u00f1a ni sus t\u00e1cticas se han correlacionado con ning\u00fan actor o grupo de amenazas conocido, aunque la evidencia disponible apunta a un adversario de ciberespionaje con tendencia a apuntar al sector de las telecomunicaciones en todas las geograf\u00edas. Los ataques se observaron por primera vez durante varias semanas en agosto de 2023. <\/p>\n “La cadena de preparaci\u00f3n de LuaDream est\u00e1 dise\u00f1ada para evadir la detecci\u00f3n y frustrar el an\u00e1lisis mientras implementa el malware directamente en la memoria”, explic\u00f3 Milenkoski. “El proceso de implementaci\u00f3n y preparaci\u00f3n de LuaDream aprovecha la plataforma LuaJIT, el compilador justo a tiempo para el lenguaje de secuencias de comandos Lua. Esto es principalmente para hacer que el c\u00f3digo de secuencias de comandos Lua malicioso sea dif\u00edcil de detectar”.<\/p>\n Los artefactos de cadena contenidos en el c\u00f3digo fuente del implante hacen referencia al 3 de junio de 2022, lo que indica que el trabajo preparatorio ha estado en marcha durante m\u00e1s de un a\u00f1o.<\/p>\n Se sospecha que LuaDream es una variante de una nueva variedad de malware denominada DreamLand por Kaspersky en su Informe de tendencias de APT para el primer trimestre de 2023<\/a>y la empresa rusa de ciberseguridad lo describe como que emplea “el lenguaje de secuencias de comandos Lua junto con su compilador Just-in-Time (JIT) para ejecutar c\u00f3digo malicioso que es dif\u00edcil de detectar”.<\/p>\n El uso de Lua es una rareza en el panorama de amenazas, ya que se ha observado previamente en tres casos diferentes desde 2012: Fuego<\/a>, Granja de animales<\/a> (tambi\u00e9n conocido como GLOBO DE NIEVE<\/a>), y Proyecto Sauron<\/a>.<\/p>\n El modo exacto de acceso inicial a\u00fan no est\u00e1 claro, pero se ha observado que roban credenciales administrativas y realizan reconocimientos para violar estaciones de trabajo de inter\u00e9s y, en \u00faltima instancia, entregar LuaDream.<\/p>\n LuaDream, una puerta trasera modular y multiprotocolo con 13 n\u00facleos y 21 componentes de soporte, est\u00e1 dise\u00f1ada principalmente para filtrar informaci\u00f3n del sistema y del usuario, as\u00ed como para administrar complementos proporcionados por atacantes que ampl\u00edan sus funciones, como la ejecuci\u00f3n de comandos. Tambi\u00e9n presenta varias capacidades anti-depuraci\u00f3n para evadir la detecci\u00f3n y frustrar el an\u00e1lisis.<\/p>\n La comunicaci\u00f3n de comando y control (C2) se logra estableciendo contacto con un dominio llamado “mode.encagil[.]com” usando el Protocolo WebSocket<\/a>. Pero tambi\u00e9n puede escuchar conexiones entrantes a trav\u00e9s de protocolos TCP, HTTPS y QUIC.<\/p>\n Los m\u00f3dulos principales implementan todas las caracter\u00edsticas antes mencionadas, mientras que los componentes de soporte son responsables de aumentar las capacidades de la puerta trasera para esperar conexiones basadas en la API del servidor HTTP de Windows y ejecutar comandos.<\/p>\n “LuaDream es una ilustraci\u00f3n convincente de los continuos esfuerzos de innovaci\u00f3n y avance que los actores de amenazas de ciberespionaje vierten en su arsenal de malware en constante evoluci\u00f3n”, dijo Milenkoski.<\/p>\n La divulgaci\u00f3n coincide con un informe paralelo de SentinelOne que detalla intrusiones estrat\u00e9gicas sostenidas por parte de actores de amenazas chinos en \u00c1frica, incluidas aquellas dirigidas a los sectores de telecomunicaciones, finanzas y gobierno en \u00c1frica, como parte de grupos de actividades denominados BackdoorDiplomacy, Earth Estries y Operation Tainted Love.<\/p>\n Seguridad Level-Up SaaS: una gu\u00eda completa para ITDR y SSPM<\/p>\n <\/a><\/p>\n Mant\u00e9ngase a la vanguardia con conocimientos pr\u00e1cticos sobre c\u00f3mo ITDR identifica y mitiga las amenazas. Conozca el papel indispensable de SSPM para garantizar que su identidad siga siendo inviolable.<\/p>\n Potencia tus habilidades<\/a><\/section>\n El objetivo, dijo la compa\u00f1\u00eda, es extender la influencia por todo el continente y aprovechar dichas ofensivas como parte de su agenda de poder blando.<\/p>\n SentinelOne dijo que detect\u00f3 un compromiso de una entidad de telecomunicaciones con sede en el norte de \u00c1frica por parte del mismo actor de amenazas detr\u00e1s de la Operaci\u00f3n Amor Contaminado, y agreg\u00f3 que el momento del ataque estuvo alineado con las negociaciones privadas de la organizaci\u00f3n para una mayor expansi\u00f3n regional.<\/p>\n “Las intrusiones dirigidas por parte de la APT BackdoorDiplomacy y el grupo de amenazas que orquesta la Operaci\u00f3n Tainted Love indican una intenci\u00f3n nivelada dirigida a apoyar [China in its efforts to] dar forma a pol\u00edticas y narrativas alineadas con sus ambiciones geoestrat\u00e9gicas, estableci\u00e9ndose como una fuerza fundamental y definitoria en la evoluci\u00f3n digital de \u00c1frica”, dijo el investigador de seguridad Tom Hegel. dicho<\/a>.<\/p>\n Tambi\u00e9n se produce d\u00edas despu\u00e9s de que Cisco Talos revelara que los proveedores de servicios de telecomunicaciones en Medio Oriente son el objetivo de un nuevo conjunto de intrusiones denominado ShroudedSnooper que emplea un conjunto de puertas traseras sigilosas llamadas HTTPSnoop y PipeSnoop.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/El-malware-para-Android-Infame-Chisel-respaldado-por-el-Estado.png\")
<\/a><\/center><\/section>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/1695330895_558_El-misterioso-actor-de-amenazas-Sandman-apunta-a-proveedores-de.jpg\")
<\/div>\n