El grupo LuckyMouse regresa con un certificado legítimo para firmar malware

20 septiembre, 2018
170 Visualizaciones

El equipo de Investigación y Análisis Global de Kaspersky Lab (GReAT) descubrió varias infecciones de un troyano desconocido que probablemente esté relacionado con LuckyMouse, el famoso actor de amenazas de habla china. El rasgo más peculiar de este malware es su controlador cuidadosamente seleccionado, firmado con un certificado digital legítimo emitido por una empresa que desarrolla software relacionado con la seguridad de la información.

El grupo LuckyMouse es conocido por sus ciberataques dirigidos a grandes objetivos de todo el mundo. La actividad del grupo presenta un peligro para regiones enteras, incluidas las zonas de Asia sudoriental y central, y sus ataques parecen responder a una agenda política. A juzgar por los perfiles de las víctimas y los vectores de ataque previos del grupo, los analistas de Kaspersky Lab creen que el troyano que detectaron podría haberse utilizado para llevar a cabo ciberespionaje, respaldado por un gobierno.

El troyano descubierto por los analistas de Kaspersky Lab infectó un equipo objetivo a través de un controlador creado por los actores de la amenaza. De este modo, los atacantes pudieron ejecutar todas las tareas comunes, como la ejecución de comandos, la descarga y la carga de archivos, e interceptar el tráfico de la red.

El controlador resultó ser la parte más interesante de esta campaña. Para hacerlo creíble, aparentemente el grupo robó un certificado digital que pertenece a un desarrollador de software relacionado con la seguridad de la información, y que se usa para la firma de muestras de malware. Esto se hizo para intentar evitar que las soluciones de seguridad lo detectaran, ya que una firma legítima hace que el malware parezca un software legal.

Otra característica destacable del controlador es que, a pesar de la habilidad de Luckymouse para crear su propio software malicioso, el software utilizado en el ataque parecía ser una combinación de código público disponible en diversos repositorios y de malware personalizado. La utilización de un código de terceros listo para usar, en lugar de escribir el código original, ahorra tiempo a los desarrolladores y hace que la adjudicación sea más difícil.

“Cuando una nueva campaña de LuckyMouse hace su aparición, casi siempre coincide con el inicio de un evento político de alto perfil y, por lo general, el momento del ataque precede a las cumbres de los líderes mundiales. El actor no está demasiado preocupado por la atribución, ya que ahora están implementando muestras de código de terceros en sus programas, y no les lleva mucho tiempo agregar otra capa a sus “droppers” o desarrollar una modificación para el malware, y aun así, permanecer sin ser rastreado”, comenta Denis Legezo, analista de seguridad en Kaspersky Lab.

Kaspersky Lab ya informó anteriormente que LuckyMouse atacó un centro de datos para organizar una campaña de “waterholing” a nivel nacional.

Cómo protegerse:

  • No confiar automáticamente en el código que se ejecuta en nuestros sistemas. Los certificados digitales no garantizan la ausencia de puertas traseras.
  • Utilizar una solución de seguridad sólida, equipada con tecnologías de detección de comportamiento malicioso, que permita atrapar incluso aquellas amenazas desconocidas hasta ahora.
  • Suscriba el equipo de seguridad de su organización a un servicio de informes de inteligencia de amenazas de alta calidad, para obtener acceso temprano a la información sobre los desarrollos más recientes en las tácticas, técnicas y procedimientos de los actores de amenazas sofisticadas.

Te podría interesar

La AI ofrece enormes beneficios para las empresas, pero también nuevos peligros
Soluciones Seguridad
24 compartido1,019 visualizaciones
Soluciones Seguridad
24 compartido1,019 visualizaciones

La AI ofrece enormes beneficios para las empresas, pero también nuevos peligros

José Luis - 26 marzo, 2018

Las aplicaciones basadas en inteligencia artificial aumentarán la vulnerabilidad de las empresas frente a los ciberataques y las fallas técnicas,…

Fortinet lanza el firewall de nueva generación más rápido de la industria
Actualidad
8 compartido440 visualizaciones
Actualidad
8 compartido440 visualizaciones

Fortinet lanza el firewall de nueva generación más rápido de la industria

José Luis - 14 febrero, 2018

La nueva serie FortiGate 6000F ofrece el rendimiento y las opciones de interfaz de red que demandan las empresas. Fortinet, especialista…

La automatización, conectividad cloud y transformación  de la seguridad, tendencias tecnológicas en 2019
Actualidad
20 compartido1,101 visualizaciones
Actualidad
20 compartido1,101 visualizaciones

La automatización, conectividad cloud y transformación de la seguridad, tendencias tecnológicas en 2019

Vicente Ramírez - 11 enero, 2019

  Solo adoptando una mentalidad "cloud first”, las empresas serán capaces de adaptarse al cambio y operar de manera más…

Deje un comentario

Su email no será publicado