Cloud Atlas, una amenaza persistente avanzada (APT), también conocida como Inception, ha actualizado su arsenal de ataque con nuevas herramientas que permiten evadir los sistemas de detección de los indicadores de compromiso estándares.

Cloud Atlas es un actor de ciberamenazas con una amplia trayectoria en operaciones de ciberespionaje contra el sector industrial, agencias estatales y otras entidades. Fue identificado por primera vez en 2014 y desde entonces permanece activo. Recientemente, sectores como el de economía y aeroespacial, así como organizaciones religiosas y de la Administración Pública de diversos países han sido el blanco de Cloud Atlas. Entre estos países afectados se encuentran Portugal, Rumanía, Turquía, Ucrania, Rusia, Turkmenistán, Afganistán y Kirguistán. Tras su infiltración exitosa, Cloud Atlas realiza las siguientes acciones:

• Recopilar información sobre el sistema al que haya logrado acceder.
• Registrar las claves de acceso.
• Extraer archivos .txt, .pdf y .xls a un servidor de comando y control.

Si bien Cloud Atlas no ha cambiado sus tácticas de forma radical, nuevas investigaciones efectuadas desde 2018 revelan que ha empezado a implementar una forma novedosa para infectar a sus víctimas y que realiza movimientos laterales a través de la red.

La cadena de infección utilizada por Cloud Atlas antes de abril de 2019.

Anteriormente, Cloud Atlas enviaba primero un email de spear phishing con un archivo adjunto de contenido malicioso. En el caso de una explotación exitosa, PowerShower -el malware incorporado en el adjunto, utilizado para el reconocimiento inicial y posterior descarga de módulos maliciosos adicionales- se ejecutaba de manera que los ciberatacantes pudiesen proceder con una operación.

La cadena de infección recientemente actualizada retrasa la ejecución de PowerShower hasta una etapa posterior: en cambio, tras la infección inicial, una aplicación HTML maliciosa se descarga y se ejecuta en la máquina objetivo. A continuación, la aplicación recopila información inicial sobre el ordenador atacado, y después descarga y ejecuta VBShower – otro módulo malicioso. VBShower procede a eliminar las pruebas de la presencia de malware en el sistema y realiza consultas a través de servidores comando y control para decidir acciones futuras. En función del comando recibido, el malware se descargará y ejecutará PowerShower u otra conocida puerta trasera de segunda etapa de Cloud Atlas.

Cadena de infección Cloud Atlas actualizada.

Aunque esta nueva cadena de infección es generalmente mucho más complicada que el modelo anterior, el principal diferenciador es que la aplicación HTML maliciosa y el módulo VBShower son polimórficos. De esta forma el código en ambos módulos será nuevo y único en cada caso. Según los expertos de Kaspersky, la versión actualizada se utiliza para hacer el malware invisible a las soluciones de seguridad que confían en los indicadores de compromiso más conocidos.

“Se ha establecido como una buena práctica en la comunidad de ciberseguridad compartir los indicadores de compromiso (IoC) de las operaciones maliciosas que identificamos en nuestras investigaciones. Esta práctica nos permite responder con rapidez a las operaciones internacionales de ciberespionaje actualmente en marcha, y evitar que estas generen daños mayores”, comentó Félix Aime, investigador de seguridad del Equipo de Análisis e Investigación Global de Kaspersky.

“Sin embargo, tal y como preveíamos ya en 2016, IoC se ha vuelto obsoleto como herramienta fiable para detectar un ataque dirigido en la red. El primero fue ProjectSauron, que creaba una serie IoC única para cada víctima y continuó con la tendencia de utilizar herramientas de fuente abierta en operaciones de ciberespionaje en vez de herramientas a medida”, prosiguió.

“Esta tendencia ahora continua con este ejemplo reciente de malware polimórfico. Esto no significa que sea más difícil atrapar a los actores, sino que las habilidades de ciberseguridad y el kit de herramientas de los defensores tienen que evolucionar en paralelo al kit de herramientas y las habilidades de los actores maliciosos que persiguen”, completó.

Kaspersky recomienda a las organizaciones que se protejan ante ataques dirigidos con soluciones mejoradas con indicadores de ataque (IoA) que se centren en las tácticas, técnicas y acciones que los ciberdelincuentes adoptan cuando se preparan para un ataque. Los IoA hacen el seguimiento de las técnicas desplegadas, sin importar las herramientas específicas que se utilicen.

Noticias Relacionadas

Las APT de habla rusa Turla y Sofacy comparten el esquema de entrega de malware4 min read Se triplica el interés de los menores por los sitios de comercio electrónico4 min read Autos inteligentes: ¿son seguros sus accesorios?4 min read 1 de cada 2 empresas argentinas no comunica o no tiene políticas de ciberseguridad4 min read