es en ca es es pt es es es eo es es en es id en en es pt es es es eo es es en es es es es es es es es es es es es es es es es gl es es es es es es es es es es fr es en en en es en en en
Los investigadores de seguridad cibernética advierten sobre ataques en curso coordinados por un presunto actor de amenazas de habla china dirigido al gobierno de Afganistán como parte de una campaña de espionaje que puede haber tenido su origen en 2014.
IndigoZebra salió a la luz por primera vez en agosto de 2017 cuando Kaspersky detalló una operación encubierta que seleccionó a las antiguas repúblicas soviéticas con una amplia franja de malware como Meterpreter, Poison Ivy RAT, xDown y una pieza de malware no documentada anteriormente llamada xCaon.
La investigación de Check Point sobre los ataques comenzó en abril cuando los funcionarios del NSC comenzaron a recibir correos electrónicos engañosos que supuestamente decían ser de la Oficina Administrativa del Presidente de Afganistán.
Si bien el mensaje instaba a los destinatarios a revisar las modificaciones en un documento adjunto relacionado con una conferencia de prensa pendiente de la NSC, se descubrió que al abrir el archivo señuelo, un archivo RAR protegido con contraseña («NSC Press conference.rar»), se desencadenaba una cadena de infección que culminó con la instalación de una puerta trasera («spools.exe») en el sistema de destino.
Además, los ataques canalizaron comandos maliciosos hacia la máquina de la víctima que se camuflaron usando la API de Dropbox, con el implante creando una carpeta única para cada host comprometido en una cuenta de Dropbox controlada por el atacante.
La puerta trasera, denominada «BoxCaon», es capaz de robar datos confidenciales almacenados en el dispositivo, ejecutar comandos arbitrarios y filtrar los resultados a la carpeta de Dropbox. Los comandos («c.txt») se colocan en una subcarpeta separada llamada «d» en la carpeta de Dropbox de la víctima, que el malware recupera antes de la ejecución.
La conexión de BoxCaon con IndigoZebra se deriva de las similitudes compartidas por el malware con xCaon. Check Point dijo que identificó alrededor de 30 muestras diferentes de xCaon, la primera que data de 2014, todas las cuales se basan en el protocolo HTTP para las comunicaciones de comando y control.
Los datos de telemetría analizados por los investigadores también encontraron que las variantes de HTTP apuntan principalmente a entidades políticas ubicadas en Kirguistán y Uzbekistán, lo que sugiere un cambio en la orientación en los últimos años junto con un conjunto de herramientas renovado.
«Lo que es notable aquí es cómo los actores de amenazas utilizaron la táctica del engaño de ministerio a ministerio», dijo Lotem Finkelsteen, jefe de inteligencia de amenazas en Check Point.
«Esta táctica es despiadada y efectiva para hacer que cualquiera haga algo por ti; y en este caso, la actividad maliciosa se vio en los niveles más altos de soberanía. Además, es digno de mención cómo los actores de amenazas utilizan Dropbox para ocultarse de la detección».
La policía investiga un ‘incidente cibernético’ en el grupo médico de Guernsey
El ransomware GandCrab y el virus Ursnif se propagan a través de macros de MS Word
Investigadores lanzan herramienta que encuentra robots vulnerables en Internet
Nuevo exploit amenaza a más de 9000 enrutadores Cisco RV320 / RV325 hackeables en todo el mundo
El nuevo error de FaceTime permite que las personas que llaman lo escuchen y lo vean sin que usted responda
La policía cerró xDedic: un mercado en línea para los ciberdelincuentes
Deja una respuesta Cancelar la respuesta
Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *
Guarda mi nombre, correo electrónico y web en este navegador para la próxima vez que comente.
Copyright © 2022, cursohacker.es | Aviso legal
Suscríbete a nuestra lista si te interesa recibir turcos exclusivos sobre hacking y seguridad informática