Una campaña conocida como "Stayin' Alive" (Manteniéndose con vida) ha estado dirigida activamente a organizaciones gubernamentales y proveedores de servicios de telecomunicaciones en toda Asia desde 2021.
Objetivo del ataque
La campaña , que emplea una amplia variedad de software malicioso "desechable" para evadir la detección, se centra principalmente en entidades de Kazajstán, Uzbekistán, Pakistán y Vietnam, mientras que Check Point, una empresa de ciberseguridad, realiza un seguimiento de estas actividades.
Los investigadores de Check Point han observado el uso de varias herramientas personalizadas por parte de los actores de amenazas en esta campaña. Estas herramientas están diseñadas para descartarse fácilmente, lo que dificulta asociar ataques entre sí o con conjuntos de herramientas conocidos.
Modo de operación
El ataque se inicia mediante correos electrónicos de spear-phishing dirigidos a personas específicas dentro de organizaciones clave. Estos correos incitan a los destinatarios a abrir un archivo ZIP que contiene un archivo ejecutable con firma digital que coincide con el contexto del correo electrónico y una DLL maliciosa. Esta DLL introduce el malware "CurKeep" en el sistema. CurKeep, una puerta trasera de 10 kb, se vuelve persistente, transmite información del sistema a un servidor de comando y control (C2) y espera nuevas instrucciones.
Más allá de CurKeep, la campaña implementa herramientas adicionales como los cargadores CurLu, CurCore y CurLog, cada uno con distintas funcionalidades y mecanismos de infección. CurCore se destaca porque puede crear archivos, ejecutar comandos remotos y manipular datos.
Otra puerta trasera distinta, 'StylerServ', funciona como un oyente pasivo que monitorea puertos específicos en busca de archivos de configuración cifrados. Su propósito exacto no se ha revelado, pero se presume que sirve como mecanismo de configuración para otros componentes de malware.
La campaña adapta estas herramientas a objetivos regionales específicos, utilizando varias muestras y variantes. Estas herramientas identificadas pueden representar solo un segmento de una campaña más extensa que involucra herramientas y métodos de ataque no descubiertos.
A pesar de la diversidad y personalización de estas herramientas, todas supuestamente se conectan a la misma infraestructura, previamente vinculada a ToddyCat, un grupo de ciberespías chinos.
Uno de los programas maliciosos más destacados descubiertos es 'Ninja Agent' , que cuenta con capacidades de gestión de archivos y de shell inverso.
ToddyCat también implementó otras herramientas como LoFiSe, Cobalt Strike, DropBox Uploader y una puerta trasera UDP pasiva en estos ataques, lo que indica la amplitud y complejidad de sus operaciones.
La prevención es un factor crucial
RELIANOID ofrece soluciones de vanguardia diseñadas para prevenir y mitigar amenazas cibernéticas sofisticadas como la campaña “Stayin' Alive” observada en toda Asia. Aprovechando la inteligencia avanzada sobre amenazas y las medidas de seguridad adaptables, RELIANOIDLa plataforma de detecta y frustra diversos programas maliciosos desechables utilizados en estos ataques mediante el análisis de la inspección del contenido y la prevención de la descarga de archivos ejecutables. Al emplear monitoreo proactivo, análisis de comportamiento y protocolos de seguridad personalizables, RELIANOID Fortalece eficazmente las redes y sistemas contra tales intrusiones cibernéticas en evolución. Descargar el balanceador de carga listo para empresas y disfrute de la experiencia de confiabilidad del sitio.
Blogs relacionados
