El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido hizo este jueves el anuncio, que se coordinó con las autoridades de los Estados Unidos y Canadá. Las tres naciones alegaron que el grupo de hackers APT29, también conocido como Cozy Bear (“oso amigable”) y del que se dice que forma parte del servicio de inteligencia ruso, está atacando a las instituciones de investigación académica y farmacéutica que participan en el desarrollo de la vacuna contra el coronavirus, con el fin de robar información.
Los persistentes y continuos ataques son vistos por los funcionarios de inteligencia como un esfuerzo para robar la propiedad intelectual, pero no para interrumpir las investigaciones. La campaña de “actividad maliciosa” está en curso e incluye ataques ”predominantemente contra objetivos gubernamentales, diplomáticos, de centros de estudios, de salud y de energía,″ dijo el Centro Nacional de Ciberseguridad en un comunicado.
No está claro si alguna información llegó a ser efectivamente robada, pero el organismo dice que la información confidencial de los individuos afectados no se ha visto comprometida. Cozy Bear, alternativamente llamado “Los Duques”, ha sido identificado por Washington como uno de los dos grupos de hackers vinculados al gobierno ruso que irrumpieron en la red informática del Comité Nacional Demócrata y robaron correos electrónicos antes de las elecciones presidenciales de 2016. El otro grupo suele llamarse Fancy Bear (“oso sofisticado”).
“APT29 utiliza una variedad de herramientas y técnicas para dirigirse predominantemente a objetivos gubernamentales, diplomáticos, de centros de investigación, sanitarios y energéticos para obtener información”, informó el Centro Nacional de Ciberseguridad. “El grupo está utilizando malwares personalizados conocido como ‘WellMess’ y ‘WellMail’ para dirigirse a varias organizaciones a nivel mundial. Esto incluye a aquellas organizaciones involucradas en el desarrollo de la vacuna contra el COVID-19. WellMess y WellMail no habían sido sido previamente asociados públicamente a APT29”.
WellMess es un malware escrito en Golang o .NET y ha estado en uso desde al menos 2018. Se llama así por uno de los nombres de sus funciones: ‘wellmess’. Es un malware ligero diseñado para ejecutar comandos shell arbitrarios, cargar y descargar archivos. El malware soporta métodos de comunicación HTTP, TLS y DNS.
WellMail es otra herramienta ligera diseñada para ejecutar comandos o scripts y los resultados se envían a un servidor codificado. El NCSC ha denominado a este malware ‘WellMail’ debido a las rutas de archivo que contienen la palabra ‘mail’ y al uso del puerto 25 del servidor presente en la muestra analizada. Como WellMess, WellMail utiliza certificados TLS de cliente y de autoridad de certificación codificados para comunicarse con los servidores C2.
Cozy Bear utiliza con frecuencia fallas de seguridad de dominio público para realizar escaneos generalizados contra sistemas vulnerables, en un esfuerzo por obtener credenciales de autenticación que le permitan un mayor acceso. Esta amplia selección de objetivos puede dar al grupo acceso a un gran número de sistemas en todo el mundo, muchos de los cuales no tienen quizás un valor de inteligencia inmediato, pero pueden tenerlo en el futuro, como se ve ahora con los centros de investigación que están desarrollando tratamientos contra el coronavirus.
“El grupo puede mantener un almacén de credenciales robadas para acceder a esos sistemas en caso de que se vuelvan más pertinentes para sus necesidades. En los recientes ataques dirigidos a la investigación y el desarrollo de la vacuna contra el COVID-19, el grupo llevó a cabo un escaneo de vulnerabilidad básica contra direcciones de IP externas de las organizaciones. A continuación, el grupo explotó las vulnerabilidades de los servicios identificados”, explicó el informe.
Una vez que acceden a un sistema, los hackers abandonan estos instrumentos y buscan obtener credenciales legítimas de los sistemas comprometidos para mantener un acceso permanente. Todo indica que utilizan servicios de anonimato al usar las credenciales robadas, de modo que no puedan ser identificados.
“Es probable que APT29 siga atacando a las organizaciones que participan en la investigación y el desarrollo de la vacuna contra el COVID-19, en la medida en que traten de responder a cuestiones de inteligencia adicionales relacionadas con la pandemia. Se recomienda encarecidamente a las organizaciones que utilicen las normas aconsejadas para detectar la actividad que se detalla en este informe”, sostuvo el NCSC en la conclusión del documento difundido.
Con información de AP
MÁS SOBRE ESTE TEMA
Últimas Noticias
Estados Unidos evalúa desplegar refuerzos militares ante la posible entrada de una nueva fase en la guerra con Irán
Los posibles despliegues buscan ampliar las opciones de Trump mientras define los próximos pasos de la ofensiva. Las alternativas en análisis apuntan a consolidar la operación en curso y extender la capacidad de acción de Washington en distintos frentes estratégicos
Las naciones del Pacífico temen por la escasez de combustible a medida que la guerra en Irán impulsa los precios del petróleo
El impacto de la volatilidad en los mercados energéticos globales alcanzó incluso a las naciones del Pacífico Sur, altamente dependientes de la importación de combustibles
Macron pidió una “moratoria” sobre los ataques contra instalaciones de suministro de energía y agua en Medio Oriente
La solicitud surge tras los últimos enfrentamientos entre el régimen iraní, Israel y Estados Unidos, en un contexto de daños reportados a centros energéticos en Qatar e Irán. El presidente galo abogó por la medida “sin demora”
Arabia Saudita anunció que se reserva el “derecho de emprender acciones militares” contra el régimen de Irán
“El poco grado de confianza que existía antes se ha hecho añicos por completo”, afirmó el funcionario tras los ataques de Teherán contra dos refinerías en la capital saudí
Trump advirtió que Estados Unidos “destruirá” el yacimiento de gas de South Pars si el régimen de Irán vuelve a atacar a Qatar
“No quiero autorizar este nivel de violencia y destrucción por las implicaciones a largo plazo que tendrá en el futuro de Teherán”, afirmó el mandatario. Sin embargo, advirtió: “No dudaré en hacerlo” si las instalaciones energéticas de Doha vuelven a ser blanco de ataques
