Los piratas informáticos iraníes están apuntando a una variedad de organizaciones en todo el mundo en campañas que usan malware no identificado previamente para realizar acciones de ciberespionaje y robar datos de las víctimas y, en algunos casos, los atacantes respaldados por el estado también están lanzando ransomware en un esfuerzo doble para avergonzar víctimas y cubrir sus huellas.
Las dos campañas separadas han sido detalladas por investigadores de seguridad cibernética en Cybereason, quienes atribuyeron la actividad a un grupo de piratería iraní que rastrean como Phosphorus, también conocido como APT35 y Charming Kitten, junto con otra operación cibernética vinculada a Irán, denominada Moses Staff.
Los ataques de Phosphorus tienen un enfoque más «tradicional» del ciberespionaje, ya que están diseñados para robar información y realizar operaciones en interés de Teherán.
VER: Una estrategia ganadora para la ciberseguridad (Informe especial de MarketingyPublicidad.es)
Se sospecha que el grupo está detrás de múltiples campañas de espionaje contra organizaciones e individuos en Estados Unidos, Europa y Medio Oriente, así como de intentos de interferir con las elecciones presidenciales de Estados Unidos.
Ahora, Phosphorus ha agregado una nueva herramienta a su arsenal, el malware troyano, que los investigadores han llamado PowerLess Backdoor, que permite a los atacantes realizar actividades con pocas posibilidades de ser detectados.
Una vez instalado en una máquina comprometida, PowerLess permite a los atacantes descargar cargas útiles adicionales y robar información, mientras que una herramienta de registro de teclas envía todas las pulsaciones de teclas ingresadas por el usuario directamente al atacante.
El análisis de las campañas de puerta trasera de PowerLess parece vincular los ataques con herramientas, técnicas y motivaciones asociadas con las campañas de Phosphorus. Además de esto, el análisis de la actividad parece vincular el grupo de amenazas Phosphorus con los ataques de ransomware.
Una de las direcciones IP que se utilizan en las campañas también sirve como servidor de comando y control para el ransomware Momento recientemente descubierto, lo que lleva a los investigadores a sugerir que podría haber un vínculo entre los ataques de ransomware y la actividad respaldada por el estado.
«También se encontró una conexión entre Phosphorus y el ransomware Memento a través de patrones TTP mutuos e infraestructura de ataque, fortaleciendo la conexión entre este ransomware previamente no atribuido y el grupo Phosphorus», dice el informe.
Cybereason también encontró un vínculo entre una segunda operación de piratería iraní, llamada Moses Staff, y ataques adicionales de ransomware, que se implementan con la ayuda de otra puerta trasera troyana recientemente identificada, denominada StrifeWater.
El troyano se usa para las fases iniciales del ataque, antes de que se elimine solo después de ser reemplazado por otras herramientas. La forma en que StrifeWater se elimina relativamente temprano en el proceso de infección es la razón por la que no se ha detallado anteriormente.
Al igual que Phosphorous, el objetivo clave de Moses Staff es realizar espionaje y robar información «para promover los objetivos geopolíticos de Irán» con víctimas en todo el mundo, incluidos EE. UU., Israel, Alemania, Chile, Turquía y los Emiratos Árabes Unidos.
Pero aunque el objetivo principal del espionaje suele ser pasar desapercibido, los ataques de Moses Staff implementan activamente una forma de ransomware después de haber reunido lo que necesitan.
«Es como una política de tierra arrasada», dijo a MarketingyPublicidad.es Assaf Dahan, jefe de investigación de amenazas del equipo Cybereason Nocturnus.
El malware ataca de manera similar al ransomware, en el sentido de que los archivos se cifran y roban, pero a diferencia de las operaciones regulares de ransomware, no hay una demanda de rescate: los ataques se lanzan únicamente con el objetivo de causar daño. Sin embargo, la similitud en el diseño con el ransomware podría alejar a las víctimas de la sospecha de una campaña de espionaje mientras se apresuran a combatir lo que parece un ataque de ransomware estándar.
VER: Por qué las operaciones de piratería iraníes podrían ser una amenaza para su red
Pero si bien parece un ransomware, los que están detrás de él no han creado un backend para aceptar un pago de rescate, y mucho menos proporcionar una clave de cifrado.
«Su objetivo principal es interrumpir los negocios y difundir el miedo», dijo Dahan, describiendo cómo los ataques de Moses Staff, aunque patrocinados por el estado, también parecen inspirarse en las campañas de hacktivismo, con gráficos personalizados y alardes sobre las víctimas de piratería.
«Trataron de aparecer como un grupo de activistas que opera en nombre de los intereses del estado iraní», explicó, y agregó: «Tienen un sitio web y un logotipo y todo, dicen ‘oye, somos nosotros’ y son bastante detallados y vocales sobre su misión».
Se cree que ambas campañas permanecen activas, pero hay acciones que las organizaciones pueden tomar en un esfuerzo por evitar convertirse en víctimas. La clave entre estos es parchear el software y los sistemas, porque se sabe que los ataques aprovechan los exploits disponibles públicamente, incluidas las vulnerabilidades de ProxyShell en Microsoft Exchange, así como las vulnerabilidades de Log4j. Al aplicar las actualizaciones de seguridad lo antes posible, se reducen las posibilidades de que los atacantes tengan tiempo de aprovechar las vulnerabilidades reveladas.
También se recomienda que el personal de seguridad de la información y los administradores de red sean proactivos en la búsqueda de amenazas, no solo al comprender completamente su propia red y ser capaces de detectar si algo puede ser sospechoso, sino también para mantenerse actualizados con la inteligencia de las amenazas potenciales más recientes. para que sepan qué buscar.
«Sea proactivo. No se limite a esperar a que aparezca una alerta porque, para cuando aparezca, podría ser demasiado tarde», dijo Dahan.
