El grupo LuckyMouse regresa con un certificado legítimo para firmar malware

20 septiembre, 2018
251 Visualizaciones

El equipo de Investigación y Análisis Global de Kaspersky Lab (GReAT) descubrió varias infecciones de un troyano desconocido que probablemente esté relacionado con LuckyMouse, el famoso actor de amenazas de habla china. El rasgo más peculiar de este malware es su controlador cuidadosamente seleccionado, firmado con un certificado digital legítimo emitido por una empresa que desarrolla software relacionado con la seguridad de la información.

El grupo LuckyMouse es conocido por sus ciberataques dirigidos a grandes objetivos de todo el mundo. La actividad del grupo presenta un peligro para regiones enteras, incluidas las zonas de Asia sudoriental y central, y sus ataques parecen responder a una agenda política. A juzgar por los perfiles de las víctimas y los vectores de ataque previos del grupo, los analistas de Kaspersky Lab creen que el troyano que detectaron podría haberse utilizado para llevar a cabo ciberespionaje, respaldado por un gobierno.

El troyano descubierto por los analistas de Kaspersky Lab infectó un equipo objetivo a través de un controlador creado por los actores de la amenaza. De este modo, los atacantes pudieron ejecutar todas las tareas comunes, como la ejecución de comandos, la descarga y la carga de archivos, e interceptar el tráfico de la red.

El controlador resultó ser la parte más interesante de esta campaña. Para hacerlo creíble, aparentemente el grupo robó un certificado digital que pertenece a un desarrollador de software relacionado con la seguridad de la información, y que se usa para la firma de muestras de malware. Esto se hizo para intentar evitar que las soluciones de seguridad lo detectaran, ya que una firma legítima hace que el malware parezca un software legal.

Otra característica destacable del controlador es que, a pesar de la habilidad de Luckymouse para crear su propio software malicioso, el software utilizado en el ataque parecía ser una combinación de código público disponible en diversos repositorios y de malware personalizado. La utilización de un código de terceros listo para usar, en lugar de escribir el código original, ahorra tiempo a los desarrolladores y hace que la adjudicación sea más difícil.

«Cuando una nueva campaña de LuckyMouse hace su aparición, casi siempre coincide con el inicio de un evento político de alto perfil y, por lo general, el momento del ataque precede a las cumbres de los líderes mundiales. El actor no está demasiado preocupado por la atribución, ya que ahora están implementando muestras de código de terceros en sus programas, y no les lleva mucho tiempo agregar otra capa a sus “droppers” o desarrollar una modificación para el malware, y aun así, permanecer sin ser rastreado”, comenta Denis Legezo, analista de seguridad en Kaspersky Lab.

Kaspersky Lab ya informó anteriormente que LuckyMouse atacó un centro de datos para organizar una campaña de “waterholing” a nivel nacional.

Cómo protegerse:

  • No confiar automáticamente en el código que se ejecuta en nuestros sistemas. Los certificados digitales no garantizan la ausencia de puertas traseras.
  • Utilizar una solución de seguridad sólida, equipada con tecnologías de detección de comportamiento malicioso, que permita atrapar incluso aquellas amenazas desconocidas hasta ahora.
  • Suscriba el equipo de seguridad de su organización a un servicio de informes de inteligencia de amenazas de alta calidad, para obtener acceso temprano a la información sobre los desarrollos más recientes en las tácticas, técnicas y procedimientos de los actores de amenazas sofisticadas.

Te podría interesar

CCN-CERT publica una nueva guía de seguridad para los dispositivos móviles Android 6.x
Actualidad
8 compartido1,425 visualizaciones
Actualidad
8 compartido1,425 visualizaciones

CCN-CERT publica una nueva guía de seguridad para los dispositivos móviles Android 6.x

Mónica Gallego - 14 junio, 2018

CCN-CERT ha publicado una guía que define una lista de recomendaciones de seguridad para la configuración de dispositivos móviles basados…

¿Cuánto presupuesto necesitas destinar a Ciberseguridad?
Soluciones Seguridad
344 visualizaciones
Soluciones Seguridad
344 visualizaciones

¿Cuánto presupuesto necesitas destinar a Ciberseguridad?

Redacción - 31 julio, 2017

Aunque "más" no significa siempre "mejor", está claro que con las nuevas amenazas en materia de ciberseguridad la mayor parte…

Cómo limitar el avance de las ‘fake news’ en 2019
Actualidad
10 compartido1,186 visualizaciones
Actualidad
10 compartido1,186 visualizaciones

Cómo limitar el avance de las ‘fake news’ en 2019

Vicente Ramírez - 11 febrero, 2019

McAfee ofrece una serie de consejos para que los usuarios eviten el riesgo de hacer click en una noticia falsa.…

Deje un comentario

Su email no será publicado