Cloud Atlas, una Amenaza Persistente Avanzada (APT), también conocida como Inception, ha actualizado su arsenal de ataque con nuevas herramientas que permiten evadir los sistemas de detección de los Indicadores de Compromiso estándares. Esta cadena de infección actualizada ya ha sido detectada en diversas organizaciones del este de Europa, Asia Central y Rusia.
Cloud Atlas es un actor de ciberamenazas con una amplia trayectoria en operaciones de ciberespionaje contra el sector industrial, agencias estatales y otras entidades. Fue identificado por primera vez en 2014 y desde entonces permanece activo. Recientemente, sectores como el de economía y aeroespacial, así como a organizaciones religiosas y de la Administración Pública de diversos países han sido el blanco de Cloud Atlas. Entre estos países afectaos se encuentran Portugal, Rumanía, Turquía, Ucrania, Rusia, Turkmenistán, Afganistán y Kirguistán. Tras su infiltración exitosa, Cloud Atlas realiza las siguientes acciones:
• Recopilar información sobre el sistema al que haya logrado acceder.
• Registrar las claves de acceso.
• Ex filtrar archivos .txt, .pdf y .xls a un servidor de comando y control.
Si bien Cloud Atlas no ha cambiado sus tácticas de forma radical, nuevas investigaciones efectuadas desde 2018 revelan que ha empezado a implementar una forma novedosa para infectar a sus víctimas y que realiza movimientos laterales a través de la red.
Anteriormente, Cloud Atlas enviaba primero un email de spear phishing con un archivo adjunto de contenido malicioso. En el caso de una explotación exitosa, PowerShower -el malware incorporado en el adjunto, utilizado para el reconocimiento inicial y posterior descarga de módulos maliciosos adicionales- se ejecutaba de manera que los ciberatacantes pudiesen proceder con una operación.
La cadena de infección recientemente actualizada retrasa la ejecución de PowerShower hasta una etapa posterior: en cambio, tras la infección inicial, una aplicación HTML maliciosa se descarga y se ejecuta en la máquina objetivo. A continuación, la aplicación recopila información inicial sobre el ordenador atacado, y después descarga y ejecuta VBShower – otro módulo malicioso. VBShower procede a eliminar las pruebas de la presencia de malware en el sistema y realiza consultas a través de servidores comando y control para decidir acciones futuras. En función del comando recibido, el malware se descargará y ejecutará PowerShower u otra conocida puerta trasera de segunda etapa de Cloud Atlas.
Aunque esta nueva cadena de infección es generalmente mucho más complicada que el modelo anterior, el principal diferenciador es que la aplicación HTML maliciosa y el módulo VBShower son polimórficos. De esta forma el código en ambos módulos será nuevo y único en cada caso. Según los expertos de Kaspersky, la versión actualizada se utiliza para hacer el malware invisible a las soluciones de seguridad que confían en los Indicadores de Compromiso más conocidos.
“Se ha establecido como una buena práctica en la comunidad de ciberseguridad compartir los Indicadores de Compromiso (IoC) de las operaciones maliciosas que identificamos en nuestras investigaciones. Esta práctica nos permite responder con rapidez a las operaciones internacionales de ciberespionaje actualmente en marcha, y evitar que estas generen daños mayores. Sin embargo, tal y como preveíamos ya en 2016, IoC se ha vuelto obsoleto como herramienta fiable para detectar un ataque dirigido en la red. El primero fue ProjectSauron, que creaba una serie IoC única para cada víctima y continuó con la tendencia de utilizar herramientas de fuente abierta en operaciones de ciberespionaje en vez de herramientas a medida. Esta tendencia ahora continua con este ejemplo reciente de malware polimórfico. Esto no significa que sea más difícil atrapar a los actores, sino que las habilidades de ciberseguridad y el kit de herramientas de los defensores tienen que evolucionar en paralelo al kit de herramientas y las habilidades de los actores maliciosos que persiguen”, comentó Felix Aime, investigador de seguridad del Equipo de Análisis e Investigación Global de Kaspersky.
Kaspersky recomienda a las organizaciones que se protejan ante ataques dirigidos con soluciones mejoradas con Indicadores de Ataque (IoA) que se centren en las tácticas, técnicas y acciones que los ciberdelincuentes adoptan cuando se preparan para un ataque. Los IoA hacen el seguimiento de las técnicas desplegadas, sin importar las herramientas específicas que se utilicen. Las últimas versiones de Kaspersky Endpoint Detection and Response, y Kaspersky Anti Targeted Attack incorporan una nueva base de datos de IoA, mantenida y actualizada por los investigadores de ciberamenazas de Kaspersky.
Otras recomendaciones de Kaspersky para las empresas
• Capacite a sus empleados para que sepan reconocer y evitar emails o vínculos potencialmente maliciosos. Considere ofrecer a su personal, formación específica de concienciación para los empleados
• Utilice una solución de seguridad para los endpoints con componentes antispam y antiphishing, así como funcionalidades de control de aplicaciones con una modalidad de denegación por defecto para bloquear la ejecución de aplicaciones no autorizadas, por ejemplo, Kaspersky Endpoint Security for Business
• Para la detección, investigación y resolución rápida de incidencias a nivel de endpoint, implemente una solución como, por ejemplo, Kaspersky Endpoint Detection and Response, para detectar incluso malware desconocido.
• Implemente una solución de seguridad corporativa que detecte amenazas avanzadas en la red en las fases iniciales, como, por ejemplo, Kaspersky Anti Targeted Attack Platform
• Integre inteligencia sobre amenazas en tus servicios de Seguridad de la Información y Gestión de Eventos (SIEM), para acceder a los datos más relevantes y actualizados