El grupo LuckyMouse regresa con un certificado legítimo para firmar malware

20 septiembre, 2018
130 Visualizaciones

El equipo de Investigación y Análisis Global de Kaspersky Lab (GReAT) descubrió varias infecciones de un troyano desconocido que probablemente esté relacionado con LuckyMouse, el famoso actor de amenazas de habla china. El rasgo más peculiar de este malware es su controlador cuidadosamente seleccionado, firmado con un certificado digital legítimo emitido por una empresa que desarrolla software relacionado con la seguridad de la información.

El grupo LuckyMouse es conocido por sus ciberataques dirigidos a grandes objetivos de todo el mundo. La actividad del grupo presenta un peligro para regiones enteras, incluidas las zonas de Asia sudoriental y central, y sus ataques parecen responder a una agenda política. A juzgar por los perfiles de las víctimas y los vectores de ataque previos del grupo, los analistas de Kaspersky Lab creen que el troyano que detectaron podría haberse utilizado para llevar a cabo ciberespionaje, respaldado por un gobierno.

El troyano descubierto por los analistas de Kaspersky Lab infectó un equipo objetivo a través de un controlador creado por los actores de la amenaza. De este modo, los atacantes pudieron ejecutar todas las tareas comunes, como la ejecución de comandos, la descarga y la carga de archivos, e interceptar el tráfico de la red.

El controlador resultó ser la parte más interesante de esta campaña. Para hacerlo creíble, aparentemente el grupo robó un certificado digital que pertenece a un desarrollador de software relacionado con la seguridad de la información, y que se usa para la firma de muestras de malware. Esto se hizo para intentar evitar que las soluciones de seguridad lo detectaran, ya que una firma legítima hace que el malware parezca un software legal.

Otra característica destacable del controlador es que, a pesar de la habilidad de Luckymouse para crear su propio software malicioso, el software utilizado en el ataque parecía ser una combinación de código público disponible en diversos repositorios y de malware personalizado. La utilización de un código de terceros listo para usar, en lugar de escribir el código original, ahorra tiempo a los desarrolladores y hace que la adjudicación sea más difícil.

“Cuando una nueva campaña de LuckyMouse hace su aparición, casi siempre coincide con el inicio de un evento político de alto perfil y, por lo general, el momento del ataque precede a las cumbres de los líderes mundiales. El actor no está demasiado preocupado por la atribución, ya que ahora están implementando muestras de código de terceros en sus programas, y no les lleva mucho tiempo agregar otra capa a sus “droppers” o desarrollar una modificación para el malware, y aun así, permanecer sin ser rastreado”, comenta Denis Legezo, analista de seguridad en Kaspersky Lab.

Kaspersky Lab ya informó anteriormente que LuckyMouse atacó un centro de datos para organizar una campaña de “waterholing” a nivel nacional.

Cómo protegerse:

  • No confiar automáticamente en el código que se ejecuta en nuestros sistemas. Los certificados digitales no garantizan la ausencia de puertas traseras.
  • Utilizar una solución de seguridad sólida, equipada con tecnologías de detección de comportamiento malicioso, que permita atrapar incluso aquellas amenazas desconocidas hasta ahora.
  • Suscriba el equipo de seguridad de su organización a un servicio de informes de inteligencia de amenazas de alta calidad, para obtener acceso temprano a la información sobre los desarrollos más recientes en las tácticas, técnicas y procedimientos de los actores de amenazas sofisticadas.

Te podría interesar

El sector de ciberseguridad y protección de datos tiene una cita con la XX Jornada Internacional de Seguridad de la Información de ISMS Forum
Actualidad
13 compartido1,005 visualizaciones1
Actualidad
13 compartido1,005 visualizaciones1

El sector de ciberseguridad y protección de datos tiene una cita con la XX Jornada Internacional de Seguridad de la Información de ISMS Forum

Samuel Rodríguez - 25 abril, 2018

ISMS Forum celebrará el próximo 10 de mayo su XX Jornada Internacional de Seguridad de la Información en el Círculo de Bellas Artes de Madrid. La…

El DMARC y el Reglamento General de Protección de Datos
Actualidad
13 compartido1,691 visualizaciones1
Actualidad
13 compartido1,691 visualizaciones1

El DMARC y el Reglamento General de Protección de Datos

José Luis - 5 octubre, 2018

El DMARC ofrece protección contra los ataques de phishing, pero ¿qué pasa con la privacidad? Para muchos, es el pan…

Salesforce presentará sus soluciones para adaptarse al GDPR en Basecamp Madrid
Actualidad
14 compartido1,093 visualizaciones
Actualidad
14 compartido1,093 visualizaciones

Salesforce presentará sus soluciones para adaptarse al GDPR en Basecamp Madrid

Vicente Ramírez - 4 mayo, 2018

Salesforce celebra el próximo 17 de mayo Basecamp Madrid, el evento de referencia sobre transformación digital en España. Salesforce, la empresa…

Deje un comentario

Su email no será publicado