Un grupo de ciberespionaje roba los datos de un contratista del gobierno del Reino Unido
Se cree que un grupo de ciberespionaje que históricamente se creia que opera en interés del gobierno chino ha hackeado a un contratista del gobierno del Reino Unido desde donde los investigadores de seguridad encontraron evidencia de que los atacantes robaron información relacionada con los departamentos gubernamentales del Reino Unido y su tecnología militar.
Los atacantes utilizaron herramientas nunca antes vistas, malware antiguo, pero también emplearon aplicaciones legítimas encontradas en los sistemas comprometidos en un intento de permanecer sin ser detectados durante el mayor tiempo posible.
Investigadores de seguridad del Grupo NCC, que investigaron los ataques, dijeron que echaron a los hackers informáticos de la red de la víctima una vez, pero recuperaron el acceso después de un par de semanas, incluso implementando nuevo malware en el ataque.
Los atacantes han sido identificados por el nombre clave de APT15. Este nombre en clave describe un equipo de espionaje cibernético cuyas operaciones se detallaron anteriormente en informes de otros proveedores de seguridad que utilizaron otros nombres como Ke3chang, Mirage, Vixen Panda GREF y Playful Dragon.
APT15 implementa dos nuevas puertas traseras: RoyalCLI y RoyalDNS
Para los ataques contra el contratista del gobierno del Reino Unido, APT15 desplegó dos nuevas puertas traseras, llamadas RoyalCLI y RoyalDNS.
No está claro cómo los atacantes obtuvieron acceso a la red del contratista, pero una vez dentro, el grupo desplegó primero la puerta trasera RoyalCLI, junto con una puerta trasera antigua utilizada en ataques pasados llamados BS2005.
APT15 usó estas puertas traseras para colocar varias herramientas en los sistemas infectados. La lista incluye una herramienta de escaneo/enumeración de red para ayudar a los atacantes a identificar los ordenadores cercanos y con una herramienta Open Source llamada spwebmember puede enumerar y volcar datos de los servidores de Microsoft SharePoint.
Además, los investigadores también encontraron una versión legítima de WinRAR para ayudar a los atacantes con compresión de datos y una copia de Mimikatz, una herramienta de prueba de penetración utilizada por los atacantes para volcar credenciales locales y crear claves de administración que podrían utilizarse para autenticarse en sistemas después de un usuario había cambiado la contraseña de su PC.
Puertas traseras controladas a través de un componente de Internet Explorer
Tanto RoyalCLI como BS2005 también fueron únicos debido a otra característica. Esa característica fue el uso de la interfaz COM IWebBrowser2 de Internet Explorer como una forma de enviar y recibir comandos desde el servidor de comando y control.
Este ataque fue único, pero los investigadores de NCC dicen que esto también tuvo un inconveniente. La desventaja es que las llamadas COM recientes de IWebBrowser2 se almacenaron en caché en el disco, dejando un rastro que los investigadores analizaron.
Los investigadores dijeron que lograron determinar más de 200 comandos que los atacantes ejecutaron en los hosts infectados mirando estos datos en caché.
APT15 tenía una inclinación por usar aplicaciones legítimas
La mayoría de los comandos implicaban aplicaciones legítimas de Windows como tasklist.exe, ping.exe, netstat.exe, net.exe, systeminfo.exe, ipconfig.exe, bcp.exe y RemoteExec.
Los errores tipográficos y las correcciones inmediatas en algunos comandos sugerían que los atacantes ejecutaban estos comandos a mano y no eran el resultado de tareas automatizadas.
Los investigadores del Grupo NCC dicen que estas acciones demuestran que los atacantes se han esforzado considerablemente para permanecer sin detectar en los sistemas infectados al elegir cuidadosamente qué paso tomar y siempre tratando de usar herramientas locales en lugar de malware. Pero a pesar de todos sus esfuerzos, se descubrió el truco y se limpió la red.
APT15 piratea el objetivo por segunda vez
Según los investigadores, "APT15 logró recuperar el acceso un par de semanas después a través de la solución VPN corporativa con un certificado de VPN robado, que habían extraído de un host comprometido".
Para esta nueva serie de ataques, APT15 incluyo una nueva puerta trasera, que también, no se había visto antes. Llamado RoyalDNS, este backdoor utilizó los registros DNS TXT como un canal para comunicarse con su servidor de comando y control.
Esta técnica no es nueva y probablemente se tomó prestada de DNSMessenger RAT, otra herramienta de piratería de ciberespionaje detectada por primera vez el año pasado.
Estos atacantes no son los piratas informáticos aficionados, sino un grupo de amenaza persistente avanzada (APT) respaldado por un estado o nación que fue suficientemente como para implementar dos puertas traseras nunca antes vistas para una sola campaña operativa.