Turla utiliza la interfase de Gmail para su centro de mando y control

Turla utiliza la interfase de Gmail para su centro de mando y control
Turla utiliza la interfase de usuario de Gmail para recibir comandos y extraer información.

El grupo de ciberespionaje Turla actualizó su backdoor ComRAT y ahora también monitorea los archivos de registros para verificar si las muestras de su malware fueron detectadas por soluciones de seguridad.

Investigadores de ESET descubrieron una nueva versión de una de las familias de malware del grupo Turla más antiguas: el backdoor ComRAT. Turla, también conocido como Snake, es un grupo de ciberespionaje que lleva activo más de diez años.

La función más interesante del nuevo backdoor de Turla es que utiliza la interfase de usuario de Gmail para recibir comandos y extraer información. ComRAT roba documentos sensibles y desde 2017 atacó al menos a tres entidades gubernamentales. ESET encontró indicios de que la última versión de ComRAT todavía estaba en uso a principios de año, con lo que se demuestra que el grupo de ciberdelincuentes sigue estando muy activo y representa una amenaza para militares y diplomáticos.

El objetivo principal de ComRAT es robar documentos confidenciales. En uno de los casos, sus operadores incluso desplegaron un ejecutable .NET para interactuar con la base de datos MS SQL Server principal de la víctima, en la que se encontraban documentos de la organización. Los operadores de este malware utilizaron servicios cloud públicos, como OneDrive o 4shared, para extraer los datos. La última versión del backdoor Turla, además, puede llevar a cabo otras acciones en equipos comprometidos, como ejecutar programas o extraer archivos.

El hecho de que los ciberdelincuentes estén intentando evadir los programas de seguridad es preocupante. “Esto muestra el nivel de sofisticación del grupo y su intención de quedarse en las máquinas infectadas durante mucho tiempo”, explicó Matthieu Faou, responsable de la investigación sobre el grupo Turla desde hace años. “Además, la última versión de ComRAT, gracias al uso de la interfase web de Gmail, es capaz de superar algunos de los controles de seguridad, ya que no se encuentra alojada en un dominio malicioso”.

Te puede interesar  Protección de datos: cómo evitar ser un objetivo de los cibercriminales

ESET descubrió la actualización del backdoor en 2017. Utiliza una base de código completamente nueva y es mucho más compleja que sus predecesoras. Los investigadores de ESET encontraron la interacción más reciente del backdoor compilada en noviembre de 2019.

Si nos basamos en el tipo de víctimas y en otras muestras de malware encontradas en las mismas máquinas comprometidas, creemos que Turla es el único grupo que utiliza ComRAT”, afirmó Faou.

ComRAT también es conocida como Agent.BTZ, un backdoor malicioso que se hizo popular después de ser usado contra el ejército de EE.UU. en 2008. La primera versión de este malware, probablemente publicado en 2007, mostraba capacidades de gusano informático y se distribuía a través de unidades extraíbles.

ESET, en el contexto de aislamiento por el COVID-19, además comparte #MejorQuedateEnTuCasa, donde acerca protección para los dispositivos y contenidos que ayudan a aprovechar los días en casa y garantizar la seguridad de los más chicos mientras se divierten online.

El mismo incluye: 90 días gratis de ESET INTERNET SECURITY para asegurar todos los dispositivos del hogar, una Guía de Teletrabajo, con buenas prácticas para trabajar desde el hogar sin riesgos, Academia ESET, para acceder a cursos online que ayudan a sacar el mayor provecho de la tecnología y Digipadres, para leer consejos sobre cómo acompañar y proteger a los niños en la web.

Print Friendly, PDF & Email

Ultimas Noticias

Deje su comentario

Su dirección de correo no será publicada. Los campos obligatorios están marcados con *

Cancelar respuesta

+ Leídas

+ Comentadas


Videos Destacados

Tipo de error: "Forbidden". Mensaje de error: "The request cannot be completed because you have exceeded your quota." Dominio: "youtube.quota". Razón: "quotaExceeded".

Did you added your own Google API key? Look at the help.

Comprueba en YouTube si el id UC8nOuNcjMh0JO1VR8vMCO4A corresponde a un channelid. Revise el FAQ del plugin or envíe los mensajes de error a support.


Microsoft potencia la industria de la salud en Argentina

La seguridad y el uso inteligente de los datos son dos de los principales desafíos para la industria que se...

Cerrar