Los expertos de Kaspersky descubrieron recientemente campañas de espionaje dirigidas contra organizaciones financieras y militares.
Con el motor de atribución de amenazas de Kaspersky, los investigadores de Kaspersky pudieron vincular más de 300 muestras de la puerta trasera Bisonal a una campaña del grupo de ciberespionaje CactusPete. Esta última campaña del grupo APT se centra en objetivos militares y financieros en Europa del Este. Todavía no está claro cómo la puerta trasera utilizada llega a los dispositivos de las víctimas.
CactusPete, también conocido como Karma Panda o Tonto Teaь, es un grupo de ciberespionaje activo desde al menos 2012. Su puerta trasera actualmente desplegada está dirigida a representantes de los sectores militar y financiero en Europa del Este, que probablemente obtengan acceso a información confidencial.
Primeros ataques de espionaje en febrero de 2020
Los investigadores de Kaspersky notaron por primera vez estas actividades grupales recientes en febrero de 2020 cuando descubrieron una versión actualizada de la puerta trasera Bisonal. Usando Kaspersky Threat Attribution Engine, una herramienta de análisis para encontrar similitudes en el código malicioso de actores de amenazas conocidos, la puerta trasera se vinculó a más de otras 300 muestras encontradas "en la naturaleza". Todas las muestras se descubrieron entre marzo de 2019 y abril de 2020, unas 20 muestras por mes. Esto sugiere que CactusPete está evolucionando rápidamente. Como tal, el grupo ha seguido perfeccionando sus habilidades y este año ha obtenido acceso a código más complejo como ShadowPad.
La funcionalidad de la carga útil maliciosa sugiere que el grupo está en busca de información altamente confidencial. Después de instalar la puerta trasera en el dispositivo de la víctima, el grupo puede usar Bisonal para iniciar silenciosamente varios programas, finalizar procesos, cargar, descargar o eliminar archivos y obtener una lista de las unidades disponibles. Una vez que los atacantes se adentran más en el sistema infectado, se utiliza un registrador de teclas para recopilar credenciales y descargar malware que otorga privilegios y aumenta gradualmente el control sobre el sistema.
CactusPete utiliza correos electrónicos de phishing selectivo
Todavía no está claro cómo llegó la puerta trasera al dispositivo en esta campaña. Sin embargo, en el pasado, CactusPete se basaba principalmente en correos electrónicos de phishing selectivo que contenían archivos adjuntos maliciosos para infectar dispositivos.
"CactusPete es un grupo APT interesante porque en realidad no es tan avanzado, incluida su puerta trasera bisonal", dice Konstantin Zykov, investigador de seguridad de Kaspersky. “Su éxito no se basa en tecnología compleja o tácticas sofisticadas de distribución y ofuscación, sino en ingeniería social exitosa. Se las arreglan para infectar objetivos de alto nivel haciendo que sus víctimas abran archivos adjuntos maliciosos en correos electrónicos de phishing. Este es un buen ejemplo de por qué el phishing continúa siendo una forma tan efectiva de lanzar ataques cibernéticos y por qué es tan importante que las empresas eduquen a sus empleados sobre cómo reconocer dichos correos electrónicos y cómo usar la inteligencia de amenazas para monitorearlos. ”
Recomendaciones de Kaspersky para la protección contra APT
- El equipo del Centro de operaciones de seguridad (SOC) siempre debe tener acceso a la inteligencia de amenazas más reciente para mantenerse al tanto de las herramientas, técnicas y tácticas nuevas y emergentes que utilizan los actores de amenazas y los ciberdelincuentes.
- Las organizaciones deben implementar una solución EDR como Kaspersky Endpoint Detection and Response para detectar, investigar y responder a incidentes de manera oportuna.
- Los empleados deben recibir capacitación periódica en seguridad cibernética [6], ya que muchos ataques dirigidos comienzan con phishing u otras técnicas de ingeniería social. Los ataques de phishing simulados pueden ayudar a probar, capacitar y alertar a los empleados sobre lo que están haciendo los ciberdelincuentes.
- Con Kaspersky Threat Attribution Engine, las muestras maliciosas se pueden vincular rápidamente con atacantes conocidos.
Consulte la lista segura de Kaspersky.com para obtener más información.
Acerca de Kaspersky Kaspersky es una empresa internacional de ciberseguridad fundada en 1997. La profunda inteligencia de amenazas y la experiencia en seguridad de Kaspersky sirven como base para soluciones y servicios de seguridad innovadores para proteger empresas, infraestructura crítica, gobiernos y consumidores en todo el mundo. La cartera de seguridad integral de la empresa incluye una protección líder para puntos finales y una variedad de soluciones y servicios de seguridad especializados para defenderse contra amenazas cibernéticas complejas y en constante evolución. Más de 400 millones de usuarios y 250.000 XNUMX clientes corporativos están protegidos por las tecnologías de Kaspersky. Más información sobre Kaspersky en www.kaspersky.com/