Una nueva campaña de ciberataques, denominada StrikeShark, está poniendo en la mira a organizaciones de América Latina, Asia y Europa. Investigadores de Kaspersky identificaron que los atacantes utilizan un malware hasta ahora no documentado, llamado SharkLoader, para infiltrarse de manera sigilosa en organismos gubernamentales, entidades diplomáticas, empresas de desarrollo de software y otras organizaciones. Hasta el momento, la compañía continúa investigando el origen de la operación y no la atribuye a ningún grupo conocido de Amenazas Persistentes Avanzadas (APT).
Los atacantes han dirigido sus operaciones contra diversas organizaciones alrededor del mundo, entre ellas entidades diplomáticas en Indonesia; organismos gubernamentales en Taiwán; empresas de desarrollo de software y otras organizaciones en Hong Kong, Líbano, Siria, Colombia, Macedonia del Norte, Nepal y Serbia, de acuerdo con hallazgo realizado por el Equipo Global de Investigación y Análisis (GReAT) de Kaspersky.
Los atacantes utilizaron diferentes tácticas para comprometer inicialmente a sus objetivos, entre ellas se encuentra la explotación de vulnerabilidades en aplicaciones expuestas a Internet, como servidores Microsoft Exchange, Microsoft SharePoint y Openfire. En otros casos, distribuyeron programas maliciosos (droppers) disfrazados de software legítimo, como instaladores de Google Update o Cisco AnyConnect. Algunas de las muestras analizadas incluso empleaban documentos PDF para engañar a las víctimas e inducirlas a instalar el malware sin darse cuenta.
La complejidad técnica de SharkLoader evidencia un malware altamente sofisticado que incorpora técnicas avanzadas para evadir los mecanismos de seguridad. Una vez que logra infiltrarse en el sistema, utiliza un método conocido como DLL side-loading, que consiste en aprovechar aplicaciones legítimas de Windows para cargar módulos maliciosos cifrados sin levantar sospechas. Posteriormente, estos módulos descifran y ejecutan componentes adicionales diseñados para eludir los sistemas de detección mediante la instalación de API hooks, una técnica que modifica el funcionamiento de determinadas funciones del sistema operativo.
Como etapa final, el malware despliega e inicia la ejecución de Cobalt Strike Beacon, una herramienta legítima de pruebas de penetración que con frecuencia es utilizada de forma maliciosa por ciberdelincuentes para establecer comunicación con los sistemas comprometidos, desplazarse lateralmente dentro de la red, realizar tareas de reconocimiento y extraer información confidencial.
«La campaña StrikeShark refleja la evolución del panorama de amenazas, donde los ciberdelincuentes combinan herramientas de ataque ampliamente disponibles con malware desarrollado a la medida y técnicas sofisticadas para evadir los mecanismos de detección. El uso de señuelos que aparentan ser software legítimo, junto con la explotación de vulnerabilidades conocidas, expone la importancia de que las organizaciones mantengan una gestión rigurosa de las actualizaciones de seguridad, implementen soluciones robustas de detección y respuesta en endpoints (EDR) y fortalezcan la capacitación de sus colaboradores para identificar y prevenir este tipo de amenazas«, comentó María Isabel Manjarrez, analista de Seguridad para América Latina en el Equipo Global de Investigación y Análisis (GReAT) de Kaspersky
Para que las empresas pueden protegerse de esta y otras amenazas, los expertos de Kaspersky recomiendan:
- Mantener actualizadas todas las aplicaciones y sistemas para corregir vulnerabilidades conocidas antes de que puedan ser explotadas por los atacantes.
- Implementar soluciones de seguridad confiables que permitan detectar y bloquear programas maliciosos (droppers) antes de que comprometan los dispositivos.
- Capacitar continuamente a los colaboradores para fortalecer la cultura de ciberseguridad y reducir el riesgo de ataques basados en ingeniería social.
- Proteger los dispositivos corporativos con soluciones integrales capaces de detectar y detener amenazas desde las primeras etapas del ataque.
- Anticiparse a las amenazas más complejas con un servicio de Inteligencia de Amenazas que de una manera clara y accionable permita detectar ataques emergentes con mayor anticipación y le ayude a tomar mejores decisiones de seguridad mediante el acceso a una de las bases de conocimiento sobre ciberseguridad más grandes del mundo.
La investigación de GREAT puede consultarse en Securelist.
