La APT Cloud Atlas actualiza su arsenal con malware polimórfico

16 agosto, 2019
12 Compartido 1,135 Visualizaciones

Cloud Atlas, una amenaza persistente avanzada (APT), también conocida como Inception, ha actualizado su arsenal de ataque con nuevas herramientas que permiten evadir los sistemas de detección de los Indicadores de Compromiso estándares. Esta cadena de infección actualizada ya ha sido detectada en diversas organizaciones del este de Europa, Asia Central y Rusia.

Cloud Atlas es un actor de ciberamenazas con una amplia trayectoria en operaciones de ciberespionaje contra el sector industrial, agencias estatales y otras entidades. Fue identificado por primera vez en 2014 y desde entonces no ha dejado de estar activo. Recientemente, el sector internacional de la economía y aeroespacial, así como a organizaciones religiosas y de la Administración Pública de diversos países han sido el blanco de Cloud Atlas. Entre estos países, se encuentran Portugal, Rumanía, Turquía, Ucrania, Rusia, Turkmenistán, Afganistán y Kirguistán. Tras su infiltración exitosa, Cloud Atlas realiza las siguientes acciones:

  • recopilar información sobre el sistema al que haya logrado acceder
  • registrar las claves de acceso
  • ex filtrar archivos .txt, .pdf y .xls a un servidor de comando y control

Si bien Cloud Atlas no ha cambiado sus tácticas de forma radical, nuevas investigaciones efectuadas desde 2018 revelan que ha empezado a implementar una forma novedosa para infectar a sus víctimas y que realiza movimientos laterales a través de la red.

Anteriormente, Cloud Atlas enviaba primero un email de spear phishing con un archivo adjunto de contenido malicioso.  En el caso de una explotación exitosa, PowerShower -el malware incorporado en el adjunto, utilizado para el reconocimiento inicial y posterior descarga de módulos maliciosos adicionales- se ejecutaba de manera que los ciberatacantes pudiesen proceder con una operación.

La cadena de infección recientemente actualizada retrasa la ejecución de PowerShower hasta una etapa posterior: en cambio, tras la infección inicial, una aplicación HTML maliciosa se descarga y se ejecuta en la máquina objetivo. A continuación, la aplicación recopila información inicial sobre el ordenador atacado, y después descarga y ejecuta VBShower – otro módulo malicioso. VBShower procede a eliminar las pruebas de la presencia de malware en el sistema y realiza consultas a través de servidores comando y control para decidir acciones futuras. En función del comando recibido, el malware se descargará y ejecutará PowerShower u otra conocida puerta trasera de segunda etapa de Cloud Atlas.

Gráfico 2. Cadena de infección Cloud Atlas actualizada

Aunque esta nueva cadena de infección es generalmente mucho más complicada que el modelo anterior, el principal diferenciador es que la aplicación HTML maliciosa y el módulo VBShower son polimórficos. De esta forma el código en ambos módulos será nuevo y único en cada caso. Según los expertos de Kaspersky, la versión actualizada se utiliza para hacer el malware invisible a las soluciones de seguridad que confían en los Indicadores de Compromiso más conocidos.

Felix Aime, investigador de seguridad del Equipo de Análisis e Investigación Global de Kaspersky, ha comentado, “Se ha establecido como una buena práctica en la comunidad de ciberseguridad compartir los Indicadores de Compromiso (IoC) de las operaciones maliciosas que identificamos en nuestras investigaciones. Esta práctica nos permite responder con rapidez a las operaciones internacionales de ciberespionaje actualmente en marcha, y evitar que estas generen daños mayores. Sin embargo, tal y como preveíamos ya en 2016, IoC se ha vuelto obsoleto como herramienta fiable para detectar un ataque dirigido en la red. El primero fue ProjectSauron, que creaba una serie IoC única para cada víctima y continuó con la tendencia de utilizar herramientas de fuente abierta en operaciones de ciberespionaje en vez de herramientas a medida. Esta tendencia ahora continua con este ejemplo reciente de malware polimórfico. Esto no significa que sea más difícil atrapar a los actores, sino que las habilidades de ciberseguridad y el kit de herramientas de los defensores tienen que evolucionar en paralelo al kit de herramientas y las habilidades de los actores maliciosos que persiguen”.

Te podría interesar

JBCN4KIDS, la iniciativa de JBCNCONF que busca fomentar la programación informática entre los jóvenes
Eventos
14 compartido877 visualizaciones
Eventos
14 compartido877 visualizaciones

JBCN4KIDS, la iniciativa de JBCNCONF que busca fomentar la programación informática entre los jóvenes

Vicente Ramírez - 30 mayo, 2019

A día de hoy existe una alta oferta de perfiles técnicos de alto nivel por parte de empresas de programación…

Entelgy ha creado DionBo, la nueva generación biométrica
Actualidad
27 compartido1,203 visualizaciones
Actualidad
27 compartido1,203 visualizaciones

Entelgy ha creado DionBo, la nueva generación biométrica

Vicente Ramírez - 7 noviembre, 2018

Entelgy, a través de su división Entelgy Digital, ha desarrollado DionBo, la nueva generación en soluciones biométricas. DionBo, Digital on…

Veeam lanza Veeam Backup & Replication Community Edition gratuito
Soluciones Seguridad
19 compartido2,268 visualizaciones
Soluciones Seguridad
19 compartido2,268 visualizaciones

Veeam lanza Veeam Backup & Replication Community Edition gratuito

Mónica Gallego - 2 abril, 2019

Veeam Software, lanza Veeam Backup & Replication Community Edition, una solución de backup basado en agente para estaciones de trabajo y servidores…

Deje un comentario

Su email no será publicado

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.