La NSA se retira de los ordenadores si ya están infectadas por otro malware APT
¿Qué es un APT?
APT son las siglas del término inglés Advanced Persistent Threat (Amenaza Avanzada Persistente), concepto que saltó a la fama tras la divulgación, por parte de The New York Times, del ataque realizado por una unidad militar china (conocida como APT1) contra las redes de diferentes medios mediante una campaña de spear phishing y malware.
Las APT tienen dos caras: el concepto y las personas. Por una parte, esta amenaza es un tipo sofisticado de ciberataque. En cambio, también puede referirse a aquellos grupos, normalmente patrocinados por los estados, que son los responsables del lanzamiento de dichas campañas maliciosas.
Cuando pensamos en la mayoría de cibercriminales y sus ataques, creemos que su objetivo es infectar tantos equipos como sea posible a través de un software malicioso, una red de botnets o el robo de credenciales. Cuanto mayor es la Red, más oportunidades existen para robar dinero, recursos informáticos, etc. En cambio, las ATP no atacan de forma aleatoria, sino que tienen un objetivo específico.
La NSA y su útilidad desconocida hasta el momento
Las herramientas de hacking filtradas el año pasado y que se cree que pertenecen a la Agencia de Seguridad Nacional de los Estados Unidos (NSA) contienen una utilidad para detectar la presencia de malware desarrollado por otros grupos de ciberespionaje.
Esta utilidad, llamada por el nombre en clave de "Territorial Dispute", alerta a los operadores de NSA sobre la presencia de otros grupos de piratería de APT en un ordenador comprometido y permite a un operador de NSA retirarse de una máquina infectada y evitar la exposición de las herramientas de pirateo de la NSA y operaciones a otros atacantes del estado nación.
"Territorial Dispute" ignorada por EternalBlue
A pesar de estar incluido en un archivo que los Shadow Brokers uqe filtraron en línea en abril, la naturaleza de la utilidad Territorial Dispute permanecio desconocida hasta la semana pasada, cuando un grupo de investigadores húngaros describió la herramienta en un informe presentado en la conferencia de Kaspersky SAS.
La razón principal por la cual la naturaleza de la utilidad Territorial Dispute tardó tanto en determinarse fue porque se incluyó en la misma filtración de Shadow Brokers que también incorporó EternalBlue, el exploit utilizado en el brote de ransomware WannaCry, pero también EternalRomance, EternalSynergy, FuzzBunch y otras herramientas de hacking de primer nivel.
A pesar de no ser un arma cibernética ofensiva, Territorial Dispute ignorada por EternalBlue dice mucho sobre el modo en el que opera la NSA. En círculos de infosec es bien sabido que los piratas informáticos de Estados Unidos no operan como otros grupos de ciberespionaje.
Debido a su posición central en la escena política mundial, EE. UU. Siempre se ha enfocado en el sigilo en un intento de no agriar las relaciones diplomáticas con países hackeados. Esto es exactamente lo contrario comparado con el ruido constante que sale de las actividades de APT (Amenaza Avanzada Persistente) en China y Rusia.
Territorial Dispute no es más que un escáner de malware
Esta utilidad funciona de manera similar a un antivirus clásico. Una vez que un operador de NSA infecta un sistema remoto, puede usar Territorial Dispute para escanear el host, de forma similar a un antivirus.
Territorial Dispute comparará los archivos hash de los archivos locales de la computadora infectada a una base de datos interna de archivos hashes que pertenecen al malware implementado por otros grupos de hackers del estado de la nación.
Si hay una coincidencia, Territorial Dispute enviará una alerta a su operador. Estas alertas contienen varios tipos de recomendaciones, como "por favor, retroceda", "busque ayuda de inmediato", "busque ayuda lo antes posible", "herramienta amigable" o "malware peligroso".
Los investigadores húngaros que analizaron el malware creen que los operadores de la NSA usan la herramienta para detectar tanto el malware adversario como el amistoso, como las herramientas de hacking desplegadas por las operaciones aliadas.
La NSA conoce al menos otras 45 APT
La lista interna de archivos hashes de Territorial Dispute también se organiza en 45 categorías diferentes, desde SIG1 hasta SIG45. Los investigadores creen que cada categoría es el nombre interno que usa la NSA para otros grupos de ciberespionaje.
El equipo de investigación intentó vincular hashes de archivos de la lista interna de Territorial Dispute a archivos hash públicamente conocidos (IOC, indicadores de compromiso) de hacks e informes de seguridad anteriores.
Descubrieron que Territorial Dispute puede detectar malware implementado por grupos de APT con nombres en clave públicos como Turla, Fancy Bear, Duqu, Stuxnet, Flame, Dark Hotel y otros grupos más pequeños.
También detectaron hashes de archivos que no se conocían públicamente, lo que significa que la NSA probablemente descubrió operaciones de hacking que no se habían analizado públicamente hasta el día de hoy. Ahora depende de la industria de la ciberseguridad tomar estos hash de archivos aún desconocidos y rastrear qué grupos están utilizando estas herramientas nunca antes vistas.