Seguridad TI

Cómo protegerse de los ataques del grupo LuckyMouse

El equipo global de investigación y análisis de Kaspersky Lab ha descubierto varias infecciones de un troyano anteriormente desconocido que probablemente esté relacionado con grupo LuckyMouse, el infame agente de amenazas de habla china.

El rasgo más peculiar de este malware es su driver o subrutina de instrucciones cuidadosamente seleccionado, que firma con un certificado digital legítimo emitido por una empresa productora de software relacionado con la seguridad de la información.

El grupo LuckyMouse es conocido por sus ciberataques dirigidos específicamente a grandes entidades de todo el mundo.

La actividad del grupo representa un peligro para regiones enteras, incluso el sureste y el centro de Asia, ya que sus ataques parecen tener una agenda política. A juzgar por las características de las víctimas y los anteriores vectores de ataque de ese grupo, los investigadores de Kaspersky Lab creen que el troyano detectado podría haber sido utilizado para ciberespionaje respaldado por una Nación-Estado.

El troyano descubierto por los expertos de Kaspersky Lab infectó la computadora de una víctima por medio de un driver creado por los agentes de amenaza. Esto permitió a los atacantes llevar a cabo todas las tareas comunes, como ejecutar órdenes, bajar y subir archivos, e interceptar el tráfico de la red.

El driver resultó ser la parte más interesante de esta campaña. Para hacerlo confiable, el grupo aparentemente robó un certificado digital que pertenece a un programador de software relacionado con la seguridad de la información y lo usó para firmar muestras de malware.

Esto se hizo para evitar que las soluciones de seguridad lo detectaran, ya que un desarrollador legítimo hace que el malware parezca un software legal.

Otra característica destacada del driver es que, a pesar de que Luckymouse puede crear su propio malware, el software utilizado en el ataque parecía ser una combinación de muestras de código accesibles en depósitos públicos y malware especialmente diseñado.

Este simple hecho de adoptar un código de terceros listo para usar, en lugar de escribir código original, ahorra tiempo a los programadores y hace que sea más difícil atribuirlo a una fuente determinada.

Kaspersky Lab había informado anteriormente acerca del ataque realizado por el agente LuckyMouse a un centro de datos nacional para organizar una campaña de waterholing a nivel de país.

Cómo protegerse:

  • No confíe automáticamente en el código que se ejecuta en sus sistemas. Los certificados digitales no garantizan la ausencia de puertas traseras.
  • Utilice una solución de seguridad robusta, equipada con tecnologías de detección de comportamiento malicioso que permitan atrapar incluso amenazas desconocidas.
  • Inscriba el equipo de seguridad de su organización en un servicio de alta calidad que proporcione informes de inteligencia contra amenazas, a fin de obtener acceso temprano a la información más reciente sobre tácticas, técnicas y procedimientos que llevan a cabo los agentes de amenazas avanzadas.

Deja un comentario

Your email address will not be published. Required fields are marked *

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>