El grupo de hackers patrocinado por el Estado ruso ‘APT29′ (también conocido como Nobelium y Cloaked Ursa) usó avisos de venta de autos de lujo ara incitar a diplomáticos en Ucrania a hacer clic en enlaces falsos, según reportó el equipo de investigación Unit 42 de Palo Alto
APT29 está vinculado al Servicio de Inteligencia Exterior (SVR) del gobierno ruso y fue responsable de numerosas campañas de ciberespionaje dirigidas a personas de alto interés en todo el mundo. En los últimos dos años, los hackers rusos se enfocaron en objetivos de la OTAN, la Unión Europea y Ucrania, usando correos electrónicos de phishing (suplantación de identidad) y documentos con temas de política exterior, junto con sitios web falsos, para infectar a sus víctimas con virus backdoor (así se le dice al malware que logra ingresar sin ser detectado).
Un informe publicado por el equipo Unit 42 de Palo Alto Networks explica que APT29 evolucionó sus tácticas de phishing, utilizando señuelos más personalizados para el destinatario del correo.
Autos de lujo a la venta en Kiev
El aviso de venta se envió a las direcciones de correo electrónico de los diplomáticos, imitando una venta legítima de automóviles que circuló dos semanas antes por parte de un diplomático polaco que se preparaba para abandonar Ucrania.
/cloudfront-us-east-1.images.arcpublishing.com/artear/LHDMJJ7DRBHURGCAQMO2IKONAI.webp)
Cuando los destinatarios hicieron clic en el enlace “más fotos de alta calidad” incrustado en el documento, fueron redirigieron a una página HTML que enmascaraba los archivos infectados.
Cómo funciona el ataque de APT29
El ocultamiento en HTML es una técnica utilizada en campañas de phishing que utiliza HTML5 y JavaScript para ocultar el payload (carga maliciosa) en cadenas codificadas en un archivo HTML o página web. Estas cadenas se decodifican por un navegador cuando un usuario abre el archivo adjunto o hace clic en un enlace.
El uso de esta técnica ayuda a evadir la seguridad, ya que el código malicioso está ofuscado y solo se decodifica al renderizarlo en el navegador.
El archivo ISO contenía lo que aparentaban ser nueve imágenes PNG, pero en realidad eran archivos LNK que desencadenaban la cadena de infección.
Según el informe de Unit 42, esta campaña apuntó al menos a 22 de las 80 misiones extranjeras en Kiev, incluyendo las de Estados Unidos, Canadá, Turquía, España, Países Bajos, Grecia, Estonia y Dinamarca. Sin embargo, se desconoce la tasa de infección.
Aproximadamente el 80% de las direcciones de correo electrónico que recibieron el folleto malicioso estaban disponibles públicamente en línea, mientras que APT29 debió haber obtenido el otro 20% a través del compromiso de cuentas y recopilación de inteligencia.