Detectada una nueva campaña del grupo LuckyMouse

  • Seguridad

El equipo de investigación y análisis global de Kaspersky Lab (GReAT) descubrió varias infecciones de un troyano desconocido que probablemente esté relacionado con LuckyMouse, el famoso actor de amenazas de habla china.

El grupo LuckyMouse es conocido por sus ciberataques dirigidos a grandes objetivos de todo el mundo. La actividad del grupo presenta un peligro para regiones enteras, incluidas las zonas de Asia sudoriental y central, y sus ataques parecen responder a una agenda política. El rasgo más peculiar de este malware es su controlador cuidadosamente seleccionado, firmado con un certificado digital legítimo emitido por una empresa que desarrolla software relacionado con la seguridad de la información.

A juzgar por los perfiles de las víctimas y los vectores de ataque previos del grupo, los analistas de Kaspersky Lab creen que el troyano que detectaron podría haberse utilizado para llevar a cabo ciberespionaje, respaldado por un gobierno.

Los hechos
El troyano descubierto por los analistas de Kaspersky Lab infectó un equipo objetivo a través de un controlador creado por los actores de la amenaza. De este modo, los atacantes pudieron ejecutar todas las tareas comunes, como la ejecución de comandos, la descarga y la carga de archivos, e interceptar el tráfico de la red.

Según ha explicado el especialista de seguridad, “el controlador resultó ser la parte más interesante de esta campaña. Para hacerlo creíble, aparentemente el grupo robó un certificado digital que pertenece a un desarrollador de software relacionado con la seguridad de la información, y que se usa para la firma de muestras de malware. Esto se hizo para intentar evitar que las soluciones de seguridad lo detectaran, ya que una firma legítima hace que el malware parezca un software legal”.

Ayúdanos a conocer cuáles son las tendencias tecnológicas que se impondrán en la empresa el próximo año y más allá, y cómo se está construyendo el futuro digital.

Otra característica destacable del controlador es que, a pesar de la habilidad de LuckyMouse para crear su propio software malicioso, el software utilizado en el ataque parecía ser una combinación de código público disponible en diversos repositorios y de malware personalizado. La utilización de un código de terceros listo para usar, en lugar de escribir el código original, ahorra tiempo a los desarrolladores y hace que la adjudicación sea más difícil.

La compañía ya informó anteriormente que LuckyMouse atacó un centro de datos para organizar una campaña de “waterholing” a nivel nacional.

Los consejos del especialista
- No confiar automáticamente en el código que se ejecuta en nuestros sistemas. Los certificados digitales no garantizan la ausencia de puertas traseras.

- Utilizar una solución de seguridad sólida, equipada con tecnologías de detección de comportamiento malicioso, que permita atrapar incluso aquellas amenazas desconocidas hasta ahora.

- Suscribir el equipo de seguridad de su organización a un servicio de informes de inteligencia de amenazas de alta calidad, para obtener acceso temprano a la información sobre los desarrollos más recientes en las tácticas, técnicas y procedimientos de los actores de amenazas sofisticadas.