Atacan redes del gobierno ucraniano con imágenes ISO de Windows 10 piratas

Entidades del gobierno ucraniano fueron hackeadas mediante ataques dirigidos que usaban imágenes ISO de Windows 10 piratas que se distribuían en redes torrent, haciéndose pasar por instaladores legítimos del sistema operativo.

Estos instaladores maliciosos, imágenes troyanizadas, entregaron malware capaz de recopilar datos de computadoras comprometidas, implementar herramientas maliciosas adicionales y filtrar datos robados a servidores controlados por los atacantes. «La ISO se configuró para deshabilitar la telemetría de seguridad típica que una computadora con Windows enviaría a Microsoft, bloquear las actualizaciones automáticas y la verificación de licencias», explica la firma de seguridad cibernética Mandiant, que descubrió los ataques.

Mientras analizaban varios dispositivos infectados en las redes del gobierno de Ucrania, Mandiant también detectó tareas programadas configuradas y diseñadas para recibir comandos que se ejecutaban a través de la consola PowerShell. Después de la infección inicial, los atacantes implementaron puertas traseras Stowaway, Beacon y Sparepart que les permitieron mantener el acceso a las computadoras comprometidas, ejecutar comandos, transferir archivos y robar información, incluidas credenciales y pulsaciones de teclas.

No hay indicios de motivación financiera mediante el robo de información monetizable o el despliegue de ransomware o criptomineros. Además, los objetivos fueron seleccionados a mano y según Mandiant esos objetivos son intereses del GRU ruso, lo que indica que son acciones que forman parte de la guerra de Ucrania, confirmando que se sigue librando en el ciberespacio.

Imágenes ISO de Windows 10 piratas

Si en el mundo físico Rusia se ha mostrando incompetente para conseguir los «objetivos» declarados por Putin, en el mundo virtual Rusia cuenta con elementos de ataque y defensa que se citan entre la élite planetaria, con unidades oficiales militares y otros grupos civiles que actúan como mercenarios por encargo. Y comenzaron a actuar antes de la invasión de Ucrania.

El grupo responsable, rastreado como UNC4166, tenía el objetivo de recopilar y robar información confidencial de las redes del gobierno ucraniano. Si bien no existe una atribución clara en ese momento, los investigadores de seguridad de Mandiant descubrieron que las organizaciones atacadas en esta campaña estaban previamente en la lista de objetivos de los piratas informáticos estatales APT28, vinculados a la inteligencia militar rusa.

APT28 ha estado operando desde al menos 2004 en nombre de la Dirección Principal de Inteligencia (GRU) del Estado Mayor General de Rusia y se ha relacionado con campañas dirigidas a gobiernos de todo el mundo, incluido al parlamento federal alemán en 2015 y ataques contra el Comité de Campaña y el Comité Nacional Demócrata en 2016. Desde que comenzó la invasión rusa de Ucrania, Google, Microsoft o el CERT de Ucrania, han descubierto varias campañas de phishing dirigidas al gobierno y las organizaciones militares de Ucrania desde este grupo.

Lo que es novedoso es el uso de este tipo de instaladores, ISO de Windows 10 piratas con troyanos para operaciones de espionaje. Claro que, no son los mismos que los existentes para el mercado de consumo. Las capacidades anti-detección incluidas indican que los atacantes sabían lo que hacían y fueron pacientes, «ya que la operación habría requerido un tiempo y recursos significativos para desarrollar y esperar a que este tipo de imágenes fueran instaladas en una red de interés», añaden desde Mandiant. No han explicado, sin embargo, quién uso este tipo de imágenes no oficiales en redes conectadas con el gobierno de Ucrania.