Nueva campaña de ciberespionaje DuneQuixote apunta a entidades gubernamentales en todo el mundo
 |
Con la mira en el Medio Oriente, APAC, Europa y
Norteamérica, los fragmentos de malware incorporan trozos de poemas en español
para mejorar la persistencia y evadir detección.
Investigadores
de Kaspersky han descubierto una campaña maliciosa en curso que inicialmente
apuntaba a una entidad gubernamental en Medio Oriente. Una investigación
adicional reveló más de 30 muestras de dropper
del malware empleadas activamente en esta campaña, presuntamente expandiendo la
victimología a APAC, Europa y América del Norte. Apodado DuneQuixote, los
fragmentos de malware incorporan trozos tomados de poemas en español para
mejorar la persistencia y evadir la detección, con el objetivo final de realizar
acciones de ciberespionaje.
En febrero de 2024, como parte del
monitoreo continuo de actividad maliciosa, los expertos de Kaspersky
descubrieron una campaña de ciberespionaje previamente desconocida y dirigida a
una entidad gubernamental en Medio Oriente. El atacante espiaba clandestinamente
al objetivo y recopilaba datos sensibles utilizando una serie de herramientas
sofisticadas diseñadas para el sigilo y la persistencia.
Los droppers iniciales del malware se disfrazan como archivos de
instalación manipulados de una herramienta legítima llamada Total Commander.
Dentro de estos droppers, se
incrustan fragmentos de poemas en español, con diferentes fragmentos de un
ejemplo a otro. Esta variación tiene como objetivo alterar la firma de cada
muestra, haciendo que la detección mediante metodologías tradicionales sea más
desafiante.
Incrustado dentro del dropper hay un código malicioso diseñado
para descargar cargas útiles adicionales en forma de una puerta trasera llamada
CR4T. Estas puertas traseras, desarrolladas en C/C++ y GoLang, tienen como
objetivo conceder a los atacantes acceso a la máquina de la víctima. Es
importante destacar que la variante de GoLang utiliza la API de Telegram para
comunicaciones C2, implementando enlaces públicos de API de Telegram de GoLang.
"Las variaciones del malware muestran la adaptabilidad y el ingenio de
los actores de amenazas detrás de esta campaña. Por el momento, hemos
descubierto dos implantes de este tipo, pero sospechamos firmemente de la
existencia de más", comenta Sergey
Lozhkin, investigador principal de seguridad en el Equipo Global de
Investigación y Análisis de Kaspersky.
La telemetría de Kaspersky
identificó una víctima en Medio Oriente tan pronto como en febrero de 2024.
Además, se produjeron varias subidas del mismo malware a un servicio de escaneo
de malware semi-público a finales de 2023, con más de 30 envíos. Se sospecha
que otras fuentes que podrían ser nodos de salida de VPN se encuentran en Corea
del Sur, Luxemburgo, Japón, Canadá, los Países Bajos y los Estados Unidos.
Para evitar ser víctima de un ataque
dirigido por un actor de amenazas conocido o desconocido, los investigadores de
Kaspersky recomiendan implementar las siguientes medidas:
●
Proporcionar a su equipo de SOC acceso a la inteligencia de
amenazas más reciente (TI). El Portal de Inteligencia de Amenazas de
Kaspersky
es un único punto de acceso para la TI de la empresa, que proporciona datos e
información sobre ciberataques recopilados por Kaspersky durante más de 20
años.
●
Capacitar a su equipo de ciberseguridad para enfrentar las últimas
amenazas dirigidas con la Formación en línea de Kaspersky desarrollada por expertos de GReAT.
●
Para la detección, investigación y remediación oportuna de
incidentes a nivel de endpoint,
implementar soluciones EDR como Kaspersky Endpoint Detection and
Response.
●
Además de adoptar protección de endpoint esencial, implementar una solución de seguridad
corporativa que detecte amenazas avanzadas a nivel de red en una etapa
temprana, como Kaspersky Anti Targeted Attack
Platform.
●
Dado que muchos ataques dirigidos comienzan con phishing u otras
técnicas de ingeniería social, introducir formación en conciencia de seguridad
y enseñar habilidades prácticas a su equipo, por ejemplo, a través de Kaspersky Automated Security
Awareness Platform.
Para obtener más información sobre
la nueva campaña DuneQuixote, visita Securelist.com.