Cloud Atlas, una amenaza persistente avanzada (APT), también conocida como Inception, ha actualizado su arsenal de ataque con nuevas herramientas que permiten evadir los sistemas de detección de los Indicadores de Compromiso estándares. Esta cadena de infección actualizada ya ha sido detectada en diversas organizaciones del este de Europa, Asia Central y Rusia.
Cloud Atlas es un actor de ciberamenazas con una amplia trayectoria en operaciones de ciberespionaje contra el sector industrial, agencias estatales y otras entidades. Fue identificado por primera vez en 2014 y desde entonces no ha dejado de estar activo. Recientemente, el sector internacional de la economía y aeroespacial, así como a organizaciones religiosas y de la Administración Pública de diversos países han sido el blanco de Cloud Atlas. Entre estos países, se encuentran Portugal, Rumanía, Turquía, Ucrania, Rusia, Turkmenistán, Afganistán y Kirguistán. Tras su infiltración exitosa, Cloud Atlas realiza las siguientes acciones:
- recopilar información sobre el sistema al que haya logrado acceder
- registrar las claves de acceso
- ex filtrar archivos .txt, .pdf y .xls a un servidor de comando y control
Si bien Cloud Atlas no ha cambiado sus tácticas de forma radical, nuevas investigaciones efectuadas desde 2018 revelan que ha empezado a implementar una forma novedosa para infectar a sus víctimas y que realiza movimientos laterales a través de la red.
Anteriormente, Cloud Atlas enviaba primero un email de spear phishing con un archivo adjunto de contenido malicioso. En el caso de una explotación exitosa, PowerShower -el malware incorporado en el adjunto, utilizado para el reconocimiento inicial y posterior descarga de módulos maliciosos adicionales- se ejecutaba de manera que los ciberatacantes pudiesen proceder con una operación.
La cadena de infección recientemente actualizada retrasa la ejecución de PowerShower hasta una etapa posterior: en cambio, tras la infección inicial, una aplicación HTML maliciosa se descarga y se ejecuta en la máquina objetivo. A continuación, la aplicación recopila información inicial sobre el ordenador atacado, y después descarga y ejecuta VBShower – otro módulo malicioso. VBShower procede a eliminar las pruebas de la presencia de malware en el sistema y realiza consultas a través de servidores comando y control para decidir acciones futuras. En función del comando recibido, el malware se descargará y ejecutará PowerShower u otra conocida puerta trasera de segunda etapa de Cloud Atlas.
Gráfico 2. Cadena de infección Cloud Atlas actualizada
Aunque esta nueva cadena de infección es generalmente mucho más complicada que el modelo anterior, el principal diferenciador es que la aplicación HTML maliciosa y el módulo VBShower son polimórficos. De esta forma el código en ambos módulos será nuevo y único en cada caso. Según los expertos de Kaspersky, la versión actualizada se utiliza para hacer el malware invisible a las soluciones de seguridad que confían en los Indicadores de Compromiso más conocidos.
Felix Aime, investigador de seguridad del Equipo de Análisis e Investigación Global de Kaspersky, ha comentado, “Se ha establecido como una buena práctica en la comunidad de ciberseguridad compartir los Indicadores de Compromiso (IoC) de las operaciones maliciosas que identificamos en nuestras investigaciones. Esta práctica nos permite responder con rapidez a las operaciones internacionales de ciberespionaje actualmente en marcha, y evitar que estas generen daños mayores. Sin embargo, tal y como preveíamos ya en 2016, IoC se ha vuelto obsoleto como herramienta fiable para detectar un ataque dirigido en la red. El primero fue ProjectSauron, que creaba una serie IoC única para cada víctima y continuó con la tendencia de utilizar herramientas de fuente abierta en operaciones de ciberespionaje en vez de herramientas a medida. Esta tendencia ahora continua con este ejemplo reciente de malware polimórfico. Esto no significa que sea más difícil atrapar a los actores, sino que las habilidades de ciberseguridad y el kit de herramientas de los defensores tienen que evolucionar en paralelo al kit de herramientas y las habilidades de los actores maliciosos que persiguen”.
