La APT está emparejando una falla conocida de Microsoft con un documento malicioso para cargar malware que captura las credenciales de los navegadores Chrome, Firefox y Edge.
El grupo de amenazas persistentes avanzadas Fancy Bear está detrás de un campaña de phishing que utiliza el espectro de la guerra nuclear para explotar una falla conocida de Microsoft con un solo clic. El objetivo es entregar malware que pueda robar credenciales de los navegadores Chrome, Firefox y Edge.
Los ataques del APT vinculado a Rusia están vinculados a la guerra entre Rusia y Ucrania, según los investigadores de Malwarebytes Threat Intelligence. Informan que Fancy Bear está impulsando documentos maliciosos armados con el exploit para Follina (CVE-2022-30190), una conocida falla de un clic de Microsoft, según un del blog publicado esta semana.
"Esta es la primera vez que observamos que APT28 usa Follina en sus operaciones", escribieron los investigadores en la publicación. Fancy Bear también se conoce como APT28, Strontium y Sofacy.
El 20 de junio, los investigadores de Malwarebytes observaron por primera vez el documento armado, que primero descarga y ejecuta un ladrón de .Net. reportado por google. El Grupo de Análisis de Amenazas (TAG) de Google dijo que Fancy Bear ya ha utilizado este ladrón para apuntar a usuarios en Ucrania.
El Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) también descubierto de forma independiente el documento malicioso utilizado por Fancy Bear en la reciente campaña de phishing, según Malwarebytes.
Oso suelto
CERT-UA previamente identificado Fancy Bear como una de las numerosas APT que atacan a Ucrania con ciberataques en paralelo con la invasión de las tropas rusas que comenzó a finales de febrero. Se cree que el grupo está operando a instancias de la inteligencia rusa para recopilar información que sería útil para la agencia.
En el pasado, Fancy Bear ha estado relacionado con ataques dirigidos a elecciones en los Estados Unidos y Europa, así como hacks contra agencias deportivas y antidopaje relacionados con los Juegos Olímpicos de 2020.
Los investigadores señalaron a Follina por primera vez en abril, pero solo en mayo ¿Se identificó oficialmente como un exploit de día cero con un solo clic? Follina está asociada con la herramienta de diagnóstico de soporte de Microsoft (MSDT) y usa el protocolo ms-msdt para cargar código malicioso de Word u otros documentos de Office cuando se abren.
El error es peligroso por varias razones, una de las cuales es su amplia superficie de ataque, ya que básicamente afecta a cualquiera que use Microsoft Office en todas las versiones compatibles actualmente de Windows. Si se explota con éxito, los atacantes pueden obtener derechos de usuario para hacerse cargo de un sistema e instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas.
Microsoft parchó recientemente a Follina en su Parche de junio martes suelta pero queda bajo explotación activa por los actores de amenazas, incluidas las APT conocidas.
Amenaza de ataque nuclear
La campaña Follina de Fancy Bear se dirige a los usuarios con correos electrónicos que contienen un archivo RTF malicioso llamado "Terrorismo nuclear: una amenaza muy real" en un intento de aprovecharse de los temores de las víctimas de que la invasión de Ucrania se convierta en un conflicto nuclear, dijeron los investigadores en la publicación. El contenido del documento es un artículo del grupo de asuntos internacionales Atlantic Council que explora la posibilidad de que Putin utilice armas nucleares en la guerra de Ucrania.
El archivo malicioso usa una plantilla remota incrustada en el archivo Document.xml.rels para recuperar un archivo HTML remoto desde la URL http://kitten-268[.]frge[.]io/article[.]html. Luego, el archivo HTML usa una llamada JavaScript a window.location.href para cargar y ejecutar un script codificado de PowerShell usando el esquema de URI ms-msdt MSProtocol, dijeron los investigadores.
El PowerShell carga la carga útil final, una variante del ladrón de .Net previamente identificado por Google en otras campañas de Fancy Bear en Ucrania. Mientras que la variante más antigua del ladrón usó un mensaje de error falso para distraer a los usuarios de lo que estaba haciendo, la variante utilizada en la campaña de temática nuclear no lo hace, dijeron los investigadores.
En otra funcionalidad, la variante vista recientemente es "casi idéntica" a la anterior, "con solo algunos refactores menores y algunos comandos de suspensión adicionales", agregaron.
Al igual que con la variante anterior, el objetivo principal del ladrón es robar datos, incluidas las credenciales del sitio web, como el nombre de usuario, la contraseña y la URL, de varios navegadores populares, incluidos Google Chrome, Microsoft Edge y Firefox. Luego, el malware usa el protocolo de correo electrónico IMAP para filtrar datos a su servidor de comando y control de la misma manera que lo hizo la variante anterior, pero esta vez a un dominio diferente, dijeron los investigadores.
“La variante anterior de este ladrón se conectaba a mail[.]sartoc.com (144.208.77.68) para extraer datos”, escribieron. “La nueva variante usa el mismo método pero un dominio diferente, www.specialityllc[.]com. Curiosamente, ambos están ubicados en Dubái”.
Lo más probable es que los propietarios de los sitios web no tengan nada que ver con APT28, ya que el grupo simplemente se aprovecha de los sitios abandonados o vulnerables, agregaron los investigadores.
- Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
- PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
- PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
- PlatoESG. Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
- PlatoSalud. Inteligencia en Biotecnología y Ensayos Clínicos. Accede Aquí.
- Fuente: https://threatpost.com/fancy-bear-nuke-threat-lure/180056/
- :posee
- :es
- :no
- 20
- 2020
- 50
- 700
- 77
- a
- Conforme
- Cuentas
- lector activo
- los actores
- adicional
- Adicionales
- Ventaja
- Negocios
- en contra
- Todos
- ya haya utilizado
- también
- an
- análisis
- y
- nadie
- Abril
- APT
- somos
- AS
- asociado
- At
- atacar
- ataques
- intento
- Básicamente
- BE
- Tenga
- esto
- comenzó
- detrás de
- creído
- ambas
- navegadores
- Error
- pero
- by
- llamar al
- , que son
- Campaña
- Campañas
- PUEDEN
- .
- el cambio
- Chrome
- código
- COM
- computadora
- el conflicto
- conectado
- contenido
- Consejo
- Para crear
- Referencias
- En la actualidad
- peligroso
- datos
- entregamos
- diagnóstico
- HIZO
- una experiencia diferente
- do
- documento
- documentos
- sí
- "Hacer"
- dominio
- Descargas
- Dubai
- Más temprano
- Southern Implants
- de manera eficaz
- Elecciones
- correo
- integrado
- Emergencia Dental
- error
- escalar
- ejecutar
- Ejecuta
- Explotar
- Explotado
- explora
- falso
- temores
- Febrero
- pocos
- Archive
- final
- Firefox
- Nombre
- primer vez
- marcado
- falla
- Desde
- a la fatiga
- Obtén
- Juegos
- reunir
- objetivo
- Google Chrome
- De Google
- Grupo procesos
- Tienen
- HTML
- http
- HTTPS
- no haber aun identificado una solucion para el problema
- if
- in
- En otra
- Incluye
- independientemente
- info
- infosec
- instalar
- Intelligence
- Internacional
- dentro
- invasión
- IT
- SUS
- JavaScript
- junio
- solo
- conocido
- Tarde
- menos
- que otros
- vinculado
- carga
- cargas
- situados
- Ubicación
- Inicio
- el malware
- Malwarebytes
- max-ancho
- mensaje
- Método
- Microsoft
- Microsoft Edge
- Microsoft Office
- menor de edad
- MEJOR DE TU
- red
- Nuevo
- BOLETÍN
- nada
- nuclear
- Armas nucleares
- número
- numeroso
- observado
- of
- Oficina
- Oficialmente
- Viejo
- más antiguo
- Olímpico
- Juegos Olímpicos
- on
- ONE
- abierto
- funcionamiento
- Operaciones
- or
- Otro
- Más de
- visión de conjunto
- los propietarios de
- emparejamiento
- Paralelo
- Contraseña
- pasado
- Patch
- suplantación de identidad
- campaña de phishing
- Platón
- Inteligencia de datos de Platón
- PlatónDatos
- ventanas emergentes
- Popular
- posibilidad
- Publicación
- PowerShell
- anterior
- previamente
- presa
- Programas
- protocolo
- publicado
- Emprendedor
- Putin
- real
- reciente
- recientemente
- relacionado
- ,
- permanece
- sanaciones
- reporte
- investigadores
- respuesta
- derechos
- ruso
- Said
- mismo
- esquema
- guión
- visto
- servidor
- Varios
- simplemente
- Sitios Web
- sueño
- algo
- espectro
- Con éxito
- tal
- SOPORTE
- Soportado
- Superficie
- te
- ETIQUETA
- ¡Prepárate!
- toma
- Target
- orientación
- tiene como objetivo
- equipo
- plantilla
- Terrorismo
- esa
- La
- luego
- ellos
- así
- esta semana
- amenaza
- actores de amenaza
- inteligencia de amenazas
- Atado
- equipo
- a
- del IRS
- Ucrania
- guerra de ucrania
- United
- URI
- Enlance
- utilizan el
- usado
- Usuario
- usuarios
- usos
- usando
- Variante
- muy
- Ver
- Vulnerable
- guerra
- Guerra en Ucrania
- fue
- Camino..
- Armas
- Página web
- sitios web
- semana
- WELL
- ¿
- cuando
- que
- mientras
- amplio
- seguirá
- ventana
- ventanas
- Palabra
- se
- escribí
- XML
- zephyrnet