Hacker Rusos espían a ATP34 e incrustan malware dentro de su Infraestructura

No hay garantía de que ningún grupo de piratería patrocinado por el estado pueda controlar su propia infraestructura, muestra un nuevo informe de la firma de seguridad cibernética Symantec. Los investigadores han descubierto evidencia de que el grupo de habla rusa conocido como Turla (otros nombres Snake o Waterbug) realizó una adquisición hostil de servidores que pertenecen a un grupo de piratería rival llamado OilRig (APT34, Crambus) previamente vinculado por expertos en seguridad al gobierno iraní.

Aparentemente, el secuestro tuvo lugar en enero de 2018, cuando se descargó una variante de la herramienta de robo de credenciales Mimikatz en una computadora de un gobierno del Medio Oriente desde un servidor previamente controlado por OilRig. Mimikatz se descargó a través de la herramienta Powruner y el panel de control Poison Frog. Tanto la infraestructura como la herramienta Powruner han sido vinculadas públicamente a OilRig por varios investigadores.

Symantec cree que la variante de Mimikatz utilizada en este ataque es exclusiva de Turla, ya que se modificó ampliamente, con casi todo el código original eliminado. Turla es conocido por su uso de herramientas públicas altamente modificadas, algo que no es una práctica común para OilRig.

Si bien es posible que los dos grupos colaboraran, Symantec dijo que no encontró pruebas que respalden esa posibilidad. Según el informe, el secuestro de la infraestructura del OilRig es probablemente un movimiento oportunista para Turla y no hay evidencia de que el grupo iraní tomara represalias contra los intrusos.

En cuanto a las razones detrás del secuestro, hay varias explicaciones posibles: podría ser una falsa táctica de bandera para sacar a los investigadores de la pista, o podría ser posible que Turla quisiera comprometer a la organización objetivo, pero descubrió que el lugar fue tomado , y en su lugar secuestraron la infraestructura como un medio para obtener acceso, dijeron los investigadores. También existe la posibilidad de que la versión de Mimikatz descargada por la infraestructura OilRig haya sido creada en realidad por la APT iraní, pero esto es muy poco probable considerando la técnica de compilación y el hecho de que la única otra ocasión en que se usó estuvo vinculada a Turla.

La toma de control del servidor de OilRig fue parte de una serie de operaciones activas llevadas a cabo por Turla en el último año y medio contra 13 organizaciones en 10 países diferentes. La lista de entidades seleccionadas incluye ministerios gubernamentales en Europa, América Latina, Oriente Medio y el sur de Asia, así como organizaciones en el sector de TI y educación. En las campañas recientes, el grupo ha utilizado "una serie de nuevas herramientas", que incluyen malware personalizado, versiones modificadas de herramientas de piratería disponibles públicamente y herramientas de administración legítimas.

Indicadores de Compromiso

Campaña 1

24fe571f3066045497b1d8316040734c81c71dcb1747f1d7026cda810085fad7
66893ab83a7d4e298720da28cd2ea4a860371ae938cdd86035ce920b933c9d85
7942eee31d8cb1c8853ce679f686ee104d359023645c7cb808361df791337145
7bd3ff9ba43020688acaa05ce4e0a8f92f53d9d9264053255a5937cbd7a5465e
a1d9f5b9ca7dda631f30bd1220026fc8c3a554d61db09b5030b8eb9d33dc9356
c63f425d96365d906604b1529611eefe5524432545a7977ebe2ac8c79f90ad7e
cb7ecd6805b12fdb442faa8f61f6a2ee69b8731326a646ba1e8886f0a5dd61e0
db9902cb42f6dc9f1c02bd3413ab3969d345eb6b0660bd8356a0c328f1ec0c07
e0c316b1d9d3d9ec5a97707a0f954240bbc9748b969f9792c472d0a40ab919ea
e0c316b1d9d3d9ec5a97707a0f954240bbc9748b969f9792c472d0a40ab919ea
5da013a64fd60913b5cb94e85fc64624d0339e09d7dce25ab9be082f0ca5e38b
c8a864039f4d271f4ab6f440cbc14dffd8c459aa3af86f79f0619a13f67c309f
588fd8eba6e62c28a584781deefe512659f6665daeb8c85100e0bf7a472ad825
cda5b20712e59a6ba486e55a6ab428b9c45eb8d419e25f555ae4a7b537fc2f26
694d9c8a1f0563c08e0d3ab7d402ffbf5a0fa11340c50fba84d709384ccef021
caaed70daa7832952ae93f41131e74dcb6724bb8669d18f28fbed4aa983fdc0c
493eee2c55810201557ef0e5d134ca0d9569f25ae732df139bb0cb3d1478257f
0e9c3779fece579bed30cb0b7093a962d5de84faa2d72e4230218d4a75ee82bc
5bbeed53aaa40605aabbfde31cbfafd5b92b52720e05fa6469ce1502169177a0
d153e4b8a11e2537ecf99aec020da5fad1e34bbe79f617a3ee5bc0b07c3abdca

vision2030.tk
vision2030.cf
dubaiexpo2020.cf
microsoft.updatemeltdownkb7234.com
codewizard.ml
updatenodes.site

https://vision2030.tk/static/googleupdate.txt
https://dubaiexpo2020.cf/counter.aspx
https://microsoft.updatemeltdownkb7234.com/windows/update.aspx
https://codewizard.ml/productivity/update.aspx

Campaña 2