Al ciberespionaje se le cae La Máscara

Kaspersky Lab descubre “La Máscara”, una de las operaciones de ciberespionaje más avanzada y que, por primera vez, habla español.

Los atacantes son de habla hispana y se dirigen a instituciones gubernamentales, compañías de energía, petróleo y gas, así como a otras víctimas de perfil alto

Se han contabilizado más de 380 víctimas únicas entre más de 1000 IPs. Las infecciones se han observado en países como Argentina, Brasil, Colombia, Costa Rica, España, Francia, Alemania, México, Reino Unido, Suiza, Estados Unidos y Venezuela

A veces, los atacantes utilizan subdominios en los sitios web para que parezcan más reales. Estos subdominios simulan las secciones de los principales periódicos de España, además de algunos internacionales, por ejemplo ,”The Guardian” y “The Washington Post”

Esta nueva y avanzada ciberamenaza también conocida como Careto ha estado involucrada en operaciones globales de ciberespionaje al menos desde el año 2007.

Lo que hace especial a La Máscara es la complejidad del conjunto de herramientas utilizadas por los atacantes. Incluye un programa malicioso extremadamente sofisticado, un rootkit, un bootkit, y versiones de Mac OS X y Linux y, posiblemente, para Android y iOS (iPad / iPhone).

Los objetivos principales han sido instituciones gubernamentales, representantes diplomáticos y embajadas, además de compañías de energía, petróleo y gas, organizaciones de investigación y activistas.

Las víctimas de este ataque dirigido se han encontrado en 31 países de todo el mundo – desde el Oriente Medio y Europa a África y las Américas.

Los ciberatacantes tenían como reto principal recopilar datos sensibles de los sistemas infectados, incluyendo, diversas claves de cifrado, configuraciones VPN, claves SSH (que sirve como medio de identificación de un usuario a un servidor SSH) y archivos RDP (utilizado para abrir automáticamente una conexión a una computadora reservada).

“Existen varias razones que nos hacen creer que esto podría ser una campaña patrocinada por un Estado. En primer lugar, se ha observado un alto grado de profesionalidad en los procedimientos operativos del grupo que está detrás de este ataque: desde la gestión de la infraestructura, el cierre de la operación, evitando las miradas curiosas a través de las reglas de acceso y la limpieza en lugar de la eliminación de los archivos de registro. Esta combinación sitúa a La Máscara por delante de la APT de Duqu en términos de sofisticación, por lo que es una de las amenazas más avanzadas en este momento”, afirma Costin Raiu, director del equipo global de investigación y análisis de Kaspersky Lab. “Este nivel de seguridad operacional no es normal en grupos – cibercriminales”.

Los investigadores de Kaspersky Lab detectaron a Careto por primera vez el año pasado, cuando observaron intentos de aprovechar una vulnerabilidad en los productos de la compañía. El exploit aportaba al malware la capacidad para evitar la detección. Por supuesto, esta situación generó mucho interés y así es como se inició la investigación.

Para las víctimas, una infección con Careto puede ser desastrosa ya que intercepta todos los canales de comunicación y recoge la información más vital del equipo de la víctima. La detección es extremadamente difícil debido a las capacidades sigilosas del rootkit, de las funcionalidades integradas y los módulos de ciberespionaje adicionales.

Principales conclusiones:

Los autores parecen ser nativos hispanohablantes, un hecho que se había observado muy raramente en ataques APT.
La campaña estuvo activa durante al menos cinco años hasta enero de 2014 (algunas muestras de Careto se recopilaron en 2007). Durante el curso de las investigaciones de Kaspersky Lab, los servidores de comando y control (C&C ) fueron cerrados.
Se han contabilizado más de 380 víctimas únicas entre más de 1000 IPs. Las infecciones se han observado en: Argelia, Argentina , Bélgica, Bolivia , Brasil , China, Colombia, Costa Rica, Cuba , Egipto, Francia , Alemania, Gibraltar, Guatemala, Irán , Irak, Libia, Malasia , Marruecos, México, Noruega, Pakistán, Polonia, Sudáfrica, España, Suiza, Túnez, Turquía, Reino Unido, Estados Unidos y Venezuela.
La complejidad y universalidad del conjunto de herramientas utilizadas por los atacantes hace que esta operación de ciberespionaje sea muy especial. Aprovechan exploits de alta gama, una pieza muy sofisticada de software malicioso, un rootkit, un bootkit, versiones de Mac OS X y Linux y posiblemente versiones para Android y para iPad/iPhone (iOS ). La Máscara también utilizó un ataque personalizado contra los productos de Kaspersky Lab.
Entre los vectores de ataque, al menos se utilizó un exploit de Adobe Flash Player (CVE-2012 – 0773). Fue diseñado para las versiones de Flash Player anteriores a la 10.3 y 11.2. Este exploit fue descubierto originalmente por VUPEN y utilizado en 2012 para escapar de la sandbox de Google Chrome para ganar el concurso Pwn2Own CanSecWest.

Métodos de infección y funcionalidades

Según el informe de análisis de Kaspersky Lab, la campaña de La Máscara se basa en el envío de mensajes de correo electrónico phishing con vínculos a un sitio web malicioso. El sitio web malicioso contiene una serie de exploits diseñados para infectar a los visitantes en función de la configuración del sistema. Después de la infección, el sitio malicioso redirige al usuario a la página web legítima de referencia en el correo electrónico, que puede ser una película de YouTube o un portal de noticias.

Es importante tener en cuenta que el exploit en sitios web no infecta automáticamente a los visitantes. En su lugar, los atacantes reciben los exploits en carpetas específicas en el sitio web, que no están directamente referenciados en ningún lugar, excepto en mensajes de correo electrónico maliciosos. A veces, los atacantes utilizan subdominios en los sitios web para que parezcan más reales. Estos subdominios simulan las secciones de los principales periódicos de España, además de algunos internacionales, por ejemplo, “The Guardian” y “The Washington Post”.

El malware intercepta todos los canales de comunicación y recoge la información más importante del sistema infectado. La detección es extremadamente difícil debido a las capacidades del rootkit sigiloso. Careto es un sistema altamente modular, soporta plugins y archivos de configuración, que le permiten realizar un gran número de funciones. Además de las funcionalidades incorporadas, los operadores de Careto podían cargar módulos adicionales que podrían llevar a cabo cualquier tarea malicioso.

Los productos de Kaspersky Lab detectan y eliminan todas las versiones conocidas del malware La Máscara o Careto.

Para leer el informe completo, con una descripción detallada de las herramientas y las estadísticas maliciosas, junto con los indicadores de compromiso, ver Securelist. Un listado completo de Preguntas y Respuestas también está disponible aquí.