Los atacantes utilizaron documentos maliciosos y diversas técnicas para dificultar la detección y el análisis de su malware, entre ellas la esteganografía
A principios de 2020, se informó de una serie de ciberataques dirigidos contra empresas industriales en varias regiones del mundo.
Según los últimos hallazgos de Kaspersky ICS CERT, estos ataques se centraron en sistemas ubicados en Japón, Italia, Alemania y el Reino Unido y tenían como blanco a proveedores de equipos y software para empresas industriales.
La investigación ha demostrado que los atacantes utilizaron documentos maliciosos de Microsoft Office, scripts (secuencias de mando) de PowerShell y diversas técnicas para dificultar la detección y el análisis de su malware, entre ellas la esteganografía, una ingeniosa tecnología para ocultar datos que encubre mensajes dentro de archivos digitales.
Los ataques dirigidos a objetivos industriales atraen orgánicamente la atención de la comunidad de ciberseguridad ya que son complejos y se enfocan en sectores de valor crítico. Cualquier interrupción en el trabajo de estas podría llevar a varias consecuencias no deseadas, desde el espionaje industrial hasta pérdidas financieras integrales.
La serie de ataques examinada no fue la excepción. Los correos electrónicos de phishing, utilizados como el vector de ataque inicial, fueron adaptados y personalizados según el lenguaje de cada víctima.
El malware utilizado en este ataque realizaba una actividad destructiva solo si el sistema operativo coincidía con el idioma utilizado en el correo electrónico de phishing.
Por ejemplo, en el caso de un ataque a una empresa en Japón, el texto del correo electrónico de phishing y el documento de Microsoft Office que contenía un macro malicioso se escribieron en japonés. Además, para descifrar con éxito el módulo de malware, el sistema operativo también debía estar localizado en japonés.
Un análisis más detallado ha demostrado que los atacantes utilizaron el utensilio Mimikatz para robar los datos de autenticación de las cuentas de Windows almacenadas en un sistema comprometido.
Esta información puede ser utilizada por los atacantes para obtener acceso a otros sistemas dentro de la red empresarial y desarrollar ataques. Esta situación es particularmente peligrosa cuando los atacantes obtienen acceso a cuentas que tienen derechos de administrador para el dominio.
Con información de López-Dóriga Digital
Minuto a minuto
