La APT Cloud Atlas actualiza su arsenal con malware polimórfico

16 agosto, 2019
12 Compartido 1,529 Visualizaciones

Cloud Atlas, una amenaza persistente avanzada (APT), también conocida como Inception, ha actualizado su arsenal de ataque con nuevas herramientas que permiten evadir los sistemas de detección de los Indicadores de Compromiso estándares. Esta cadena de infección actualizada ya ha sido detectada en diversas organizaciones del este de Europa, Asia Central y Rusia.

Cloud Atlas es un actor de ciberamenazas con una amplia trayectoria en operaciones de ciberespionaje contra el sector industrial, agencias estatales y otras entidades. Fue identificado por primera vez en 2014 y desde entonces no ha dejado de estar activo. Recientemente, el sector internacional de la economía y aeroespacial, así como a organizaciones religiosas y de la Administración Pública de diversos países han sido el blanco de Cloud Atlas. Entre estos países, se encuentran Portugal, Rumanía, Turquía, Ucrania, Rusia, Turkmenistán, Afganistán y Kirguistán. Tras su infiltración exitosa, Cloud Atlas realiza las siguientes acciones:

  • recopilar información sobre el sistema al que haya logrado acceder
  • registrar las claves de acceso
  • ex filtrar archivos .txt, .pdf y .xls a un servidor de comando y control

Si bien Cloud Atlas no ha cambiado sus tácticas de forma radical, nuevas investigaciones efectuadas desde 2018 revelan que ha empezado a implementar una forma novedosa para infectar a sus víctimas y que realiza movimientos laterales a través de la red.

Anteriormente, Cloud Atlas enviaba primero un email de spear phishing con un archivo adjunto de contenido malicioso.  En el caso de una explotación exitosa, PowerShower -el malware incorporado en el adjunto, utilizado para el reconocimiento inicial y posterior descarga de módulos maliciosos adicionales- se ejecutaba de manera que los ciberatacantes pudiesen proceder con una operación.

La cadena de infección recientemente actualizada retrasa la ejecución de PowerShower hasta una etapa posterior: en cambio, tras la infección inicial, una aplicación HTML maliciosa se descarga y se ejecuta en la máquina objetivo. A continuación, la aplicación recopila información inicial sobre el ordenador atacado, y después descarga y ejecuta VBShower – otro módulo malicioso. VBShower procede a eliminar las pruebas de la presencia de malware en el sistema y realiza consultas a través de servidores comando y control para decidir acciones futuras. En función del comando recibido, el malware se descargará y ejecutará PowerShower u otra conocida puerta trasera de segunda etapa de Cloud Atlas.

Gráfico 2. Cadena de infección Cloud Atlas actualizada

Aunque esta nueva cadena de infección es generalmente mucho más complicada que el modelo anterior, el principal diferenciador es que la aplicación HTML maliciosa y el módulo VBShower son polimórficos. De esta forma el código en ambos módulos será nuevo y único en cada caso. Según los expertos de Kaspersky, la versión actualizada se utiliza para hacer el malware invisible a las soluciones de seguridad que confían en los Indicadores de Compromiso más conocidos.

Felix Aime, investigador de seguridad del Equipo de Análisis e Investigación Global de Kaspersky, ha comentado, “Se ha establecido como una buena práctica en la comunidad de ciberseguridad compartir los Indicadores de Compromiso (IoC) de las operaciones maliciosas que identificamos en nuestras investigaciones. Esta práctica nos permite responder con rapidez a las operaciones internacionales de ciberespionaje actualmente en marcha, y evitar que estas generen daños mayores. Sin embargo, tal y como preveíamos ya en 2016, IoC se ha vuelto obsoleto como herramienta fiable para detectar un ataque dirigido en la red. El primero fue ProjectSauron, que creaba una serie IoC única para cada víctima y continuó con la tendencia de utilizar herramientas de fuente abierta en operaciones de ciberespionaje en vez de herramientas a medida. Esta tendencia ahora continua con este ejemplo reciente de malware polimórfico. Esto no significa que sea más difícil atrapar a los actores, sino que las habilidades de ciberseguridad y el kit de herramientas de los defensores tienen que evolucionar en paralelo al kit de herramientas y las habilidades de los actores maliciosos que persiguen”.

Mantente informado de las noticias más relevantes en nuestro canal de Telegram

Te podría interesar

La amenaza fantasma: las modificaciones de troyanos de banca móvil alcanzan su máximo histórico
Actualidad
10 compartido1,594 visualizaciones
Actualidad
10 compartido1,594 visualizaciones

La amenaza fantasma: las modificaciones de troyanos de banca móvil alcanzan su máximo histórico

Vicente Ramírez - 29 agosto, 2018

Los troyanos de banca móvil hicieron su aparición en la lista de ciberamenazas en el segundo trimestre de 2018. El…

Estos son los ciberengaños que pueden arruinar nuestras rebajas
Actualidad
7 compartido1,746 visualizaciones
Actualidad
7 compartido1,746 visualizaciones

Estos son los ciberengaños que pueden arruinar nuestras rebajas

Alicia Burrueco - 16 julio, 2020

Si ya durante la pandemia aumentó el número de ciudadanos que realizaban compras online (23%, según el CIS[1]), es muy…

Optimizando el fraude móvil
Mobile
19 compartido8,126 visualizaciones
Mobile
19 compartido8,126 visualizaciones

Optimizando el fraude móvil

Vicente Ramírez - 30 octubre, 2018

El pasado jueves 25 de octubre se celebró la VI Edición del Mobile Commerce Congress, el único evento en España…

Deje un comentario

Su email no será publicado

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.