Seguridad TI

Guerra de espías: Estados-nación respaldan a agentes de amenazas para hackear a otros grupos

Agentes de amenazas avanzados están hackeando de manera activa a otros grupos de ataque para robar datos de las víctimas, tomar prestadas herramientas y técnicas, y reutilizar entre ellos su infraestructura. espías:

Situación que dificulta a los investigadores de seguridad la obtención de inteligencia para combatir estas amenazas, según el Equipo Global de Investigación y Análisis de Kaspersky Lab (GReAT, por sus siglas en inglés).

El equipo GReAT ha encontrado una serie de artefactos extraños e inesperados al investigar a agentes de amenaza específicos que sugieren que estos ataques activos ya están ocurriendo públicamente.

Los ejemplos incluyen:

  1. Backdoors instaladas en la infraestructura de control y mando (C&C) de otra entidad

La instalación de un backdoor o puerta trasera en una red hackeada permite a los atacantes permanecer dentro de las operaciones de otro grupo. Los investigadores de Kaspersky Lab han encontrado lo que parecen ser dos ejemplos de estas puertas traseras.

Uno de ellos fue encontrado en 2013, cuando se analizaba un servidor utilizado por NetTraveler, una campaña en idioma chino dirigida a activistas y organizaciones en Asia. La segunda fue encontrada en 2014, cuando se investigaba un sitio web hackeado y usado por Crouching Yeti (también conocido como Energetic Bear), un agente de amenazas en idioma ruso que ataca al sector industrial desde 2010. Los investigadores notaron que, durante un breve período de tiempo, el panel de administración de la red C&C fue modificado con una etiqueta que apuntaba a una dirección IP remota en China (probablemente una señal falsa). Los investigadores creen que esto también era una puerta trasera perteneciente a otro grupo, aunque no hay indicadores de quién podría ser.

  1. Compartir sitios web hackeados

En 2016, los investigadores de Kaspersky Lab descubrieron que un sitio web infectado por el DarkHotel de idioma coreano también alojó secuencias de mandos de ataques para otro atacante objetivo, al que el equipo llamó ScarCruft, un grupo dirigido principalmente a organizaciones rusas, chinas y coreanas. La operación DarkHotel se remonta desde abril de 2016, mientras que los ataques ScarCruft se implementaron un mes después, lo que sugiere que ScarCruft pudo haber observado los ataques DarkHotel antes de lanzar el suyo propio.

  1. Objetivo por proxy

La infiltración de un grupo con un interés particular en determinada región o sector de la industria permite al atacante reducir los costos y afinar el objetivo, beneficiándose así de la experiencia especializada de su víctima.

Algunos agentes de amenazas, más que robarlas, comparten víctimas. Este es un enfoque arriesgado si uno de los grupos es menos avanzado y lo descubren, ya que el inevitable análisis forense que sigue también revelará a los otros intrusos. En noviembre de 2014, Kaspersky Lab informó que un servidor perteneciente a una institución de investigación en Medio Oriente, conocido como el Magnet of Threats, alojó simultáneamente implantes para los agentes de amenazas altamente avanzados Regin y Equation Group (de idioma inglés), Turla e ItaDuke (en ruso), así como Animal Farm (en francés) y Careto (en español). De hecho, este servidor fue el punto de partida para el descubrimiento del Equation Group.

 

Para mantenerse al día con este panorama de amenazas que evoluciona rápidamente, Kaspersky Lab recomienda a las empresas implementar una plataforma de seguridad a gran escala combinada con inteligencia de vanguardia contra las amenazas.

Deja un comentario

Your email address will not be published. Required fields are marked *

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>