Autor: mrholmanc

ESET descubre nuevo backdoor modular, denominado PipeMon, utilizado por el Grupo Winnti en ataques a compañías desarrolladoras de videojuegos MMO.

En febrero de 2020, descubrimos un nuevo backdoor modular al que llamamos PipeMon. Persistiendo como un procesador de impresión, este backdoor fue utilizado por el Grupo Winnti contra varias compañías que desarrollan videojuegos multijugador online masivos (MMO, por sus siglas en inglés) con sede en Corea del Sur y Taiwán. Los videojuegos desarrollados por estas compañías están disponibles en populares plataformas que cuentan con la participación de miles de jugadores de manera simultánea.

En al menos una oportunidad, los operadores de este malware lograron comprometer un sistema de compilación (build system) de una de sus víctimas, lo que podría haber llevado a un ataque de cadena de suministro al permitir a los atacantes troyanizar los ejecutables del juego. En otro caso, los servidores del videojuego fueron comprometidos, lo que podría haber permitido a los atacantes, por ejemplo, manipular las divisas del propio juego para obtener ganancias financieras.

El Grupo Winnti, activo desde al menos 2012, es responsable de llevar adelante ataques de cadena de suministro de alto perfil contra la industria del software, lo que llevó a la distribución distintos software troyanizados (como CCleaner , ASUS LiveUpdate, así como múltiples videojuegos) que luego eran utilizados para comprometer a más víctimas. Recientemente, investigadores de ESET también descubrieron una campaña del Grupo Winnti dirigida a varias universidades de Hong Kong en la que utilizaron los malware ShadowPad y Winnti.

Atribución al Grupo Winnti

Múltiples indicadores nos llevaron a atribuir esta campaña al Grupo Winnti. Algunos de los dominios de C&C utilizados por PipeMon fueron utilizados por el malware Winnti en campañas anteriores que fueron mencionadas en nuestro artículo sobre el arsenal utilizado por el Grupo Winnti. Asimismo, el malware Winnti también se descubrió en 2019 en algunas de las compañías que luego fueron comprometidas con PipeMon.

Además del malware Winnti, descubrims que para esta campaña se utilizó un binario personalizado de AceHash (un recopilador de credenciales) que encontramos en otras víctimas de Winnti y que estaba firmado con un conocido certificado robado que anteriormente había sido utilizado por el grupo (Wemade IO).

El certificado utilizado para firmar el instalador, los módulos y las herramientas adicionales de PipeMon está vinculado a una compañía de videojuegos que se vio comprometida en un ataque de cadena de suministro a fines de 2018 por el Grupo Winnti, y probablemente fue robado en ese momento.

Curiosamente, los módulos de PipeMon se instalan en %SYSTEM32%\spool\prtprocs\x64\; esta ruta también fue utilizada en el pasado para droppear la segunda etapa del CCleaner troyanizado.

Además, comprometer un entorno de compilación para desarrolladores de software para posteriormente comprometer una aplicación legítima es un accionar conocido por el Grupo Winnti.

Compañías apuntadas en esta campaña

Las compañías apuntadas en esta campaña son desarrolladores de videojuegos MMO que tienen su sede en Corea del Sur y Taiwán. En al menos un caso, los atacantes pudieron comprometer el servidor de compilación orquestado de la compañía, permitiéndoles tomar el control de los sistemas de compilación automatizados. Esto podría haber permitido a los atacantes incluir código de manera arbitraria en los ejecutables de los videojuegos.

ESET contactó a las empresas afectadas y proporcionó la información necesaria para remediar el compromiso.

Conclusión

Una vez más, el Grupo Winnti dirige sus ataques a desarrolladores de videojuegos en Asia. Esta vez con una nuevo backdoor modular firmado con un certificado de firma de código probablemente robado durante una campaña anterior y que comparte algunas similitudes con el backdoor PortReuse. Este nuevo implante muestra que el Grupo Winnti todavía está desarrollando activamente nuevas herramientas utilizando para ello múltiples proyectos de código abierto; lo que demuestra que no confían únicamente en sus backdoors insignia, como  ShadowPad o el malware Winnti.

Para conocer el análisis técnico de esta campaña pueden visitar el artículo en inglés de esta invesigación.

Tomado de Welivesecurity

Productos Seguridad informática

Noticias Seguridad informática

Más de 40 líderes mundiales llaman a los gobiernos a tomar medidas para detener los ciberataques a instituciones vinculadas con el sector de la salud en el contexto actual por la pandemia del COVID-19.

Una carta abierta firmada por más de 40 líderes internacionales de distintas partes del mundo exhorta a los gobiernos a trabajar de manera conjunta para detener los ciberataques dirigidos a hospitales, centros de atención médica y de investigación, así como a autoridades internacionales que brindan atención y orientación en el marco de la pandemia por el COVID-19.

“Durante las últimas semanas hemos sido testigos de ataques dirigidos a instalaciones médicas, así como a organizaciones que trabajan en la primera línea de batalla para combatir la pandemia del COVID-19. Estas acciones han puesto bajo amenaza las vidas humanas al afectar la capacidad de funcionamiento de estas instituciones críticas, provocando una disminución en la distribución de suministros médicos e información, así como alterando el cuidado a los pacientes.”, explica un pasaje de la carta.

Publicada por el CyberPeace Institute, una organización internacional que busca promover la estabilidad en el ciberespacio, la carta incluye la firma de más de 40 líderes pertenecientes a gobiernos, industrias, organizaciones gubernamentales y académicos de todo el mundo, entre ellos siete ganadores de los Premios Nobel.

En el contexto actual de pandemia, en el que se ha registrado un incremento de ciberataques al sector de la salud, el mensaje tiene como objetivo poner sobre la mesa la necesidad -y la urgencia- de tomar medidas y que los gobiernos, junto con el sector privado y la sociedad civil a nivel internacional, trabajen conjuntamente para llevar adelante acciones que contribuyan a proteger y asegurar a las distintas organizaciones e instituciones que conforman este sector, como son hospitales, institutos de investigación, organizaciones públicas internacionales de la salud, entre otras.

Tal como explicamos en un artículo reciente acerca de por qué los hospitales son un blanco atractivo para los cibercriminales, desde comienzos de año y a medida que el nuevo coronavirus iba extendiéndose a distintos países del mundo, en países como República Checa, España, Francia o Estados Unidos se han registrado ataques dirigidos a hospitales, centros de investigación y otros organismos que conforman el sector de la salud. Estos acontecimientos han evidenciado no solo el oportunismo de los cibercriminales, sino también algo que no es una novedad para muchos, y es lo vulnerable que es este sector a los ataques informáticos y lo importante que es tomar medidas para prevenir este tipo de incidentes en un momento en el que tanto se requiere de los cuidados médicos.

Según dijo Peter Maurer, presidente del Comité Internacional de la Cruz Roja, organización que forma parte de esta acción, “estamos viviendo la crisis sanitaria más urgente de la historia moderna, y estos ataques amenazan a toda la humanidad”.

Tomado de Welivesecurity

Productos Seguridad informática

Noticias Seguridad informática

Llamada StrandHogg 2.0, la vulnerabilidad afecta a todos los dispositivos Android que utilicen la versión 9.0 o anteriores del sistema operativo. Google lanzó un parche que mitiga la vulnerabilidad.

Una vulnerabilidad crítica en Android, apodada StrandHogg 2.0, fue recientemente descubierta y permitiría que apps maliciosas se hagan pasar por legítimas para robar información sensible de los usuarios al solicitar el ingreso de credenciales de acceso u otro tipo de información.

Se trata de una vulnerabilidad (CVE-2020-0096) de escalación de privilegios que afecta a todos los dispositivos que corran la versión 9.0 de Android (o anteriores) y puede ser explotada por un atacante sin necesidad de obtener acceso root. En este sentido, en caso de explotación un atacante podría llevar adelante varias acciones maliciosas en el equipo de la víctima, como escuchar a través del micrófono del equipo comprometido, tomar fotografías a través de la cámara, leer y enviar mensajes SMS, realizar llamadas telefónicas y/o grabar las conversaciones, robar credenciales, acceder a los archivos almacenados en el dispositivo, obtener información de la ubicación, acceder a la lista de contactos, así como las claves de acceso al teléfono.

Android, Vulnerabilidad permite reemplazar apps legítimas

El hallazgo de esta vulnerabilidad fue realizado por la compañía Promon, quien también había descubierto en 2019 la versión 1.0 de este fallo -aún sin parchear- que presenta características similares y que había sido explotado de manera activa por el troyano bancario BankBot.

En el caso de la primera versión de StrandHogg, la vulnerabilidad hacía uso de la funcionalidad taskAffinity para tomar el control de una aplicación a la vez en el equipo de la víctima y reemplazar la app legítima por una versión falsa. En el caso de StrandHogg 2.0, el fallo no se aprovecha de la misma función y permitiría a un código malicioso que que explote la vulnerabilidad ser capaz de interceptar de manera dinámica la actividad que realiza el usuario al presionar el ícono de cualquier aplicación para tomar control de esta acción y así lograr desplegar una falsa versión de prácticamente cualquier app en el dispositivo de la víctima.

Asimismo, según explicaron los investigadores, un código malicioso que se aproveche de este fallo será difícil de detectar por una solución de seguridad, por lo que representa una amenaza importante para el usuario final. A esto se suma que cerca del 90% de los usuarios de Android corren la versión 9.0 o anteriores en sus dispositivos, lo cual quiere decir que existen muchos equipos que, de no tener instalado el parche correspondiente, estarán expuestos a esta vulnerabilidad.

En cuanto al parche que mitiga este fallo, luego de ser reportada la vulnerabilidad a Google en diciembre de 2019, la compañía comunicó a principios de mayo que comenzó a lanzar un parche que corrige el problema.

Android, Vulnerabilidad permite reemplazar apps legítimas

Si bien puede resultar difícil de detectar este tipo de ataque, algunos comportamientos sospechosos que podrían alertar al usuario final pueden ser, por ejemplo, que una app en la cual ya ha iniciado sesión vuelva a requerir el ingreso de las credenciales de acceso, que aparezcan ventanas emergentes que no contengan el nombre de la app, solicitud de permisos innecesarios dadas las características de la aplicación que está abriendo, que aparezcan botones o enlaces en la interfaz de la app que no realizan ninguna acción una vez que son presionados, o que el botón para volver para atrás no realice esta acción.

Tomado de Welivesecurity

Productos Seguridad informática

Noticias Seguridad informática