El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido hizo este jueves el anuncio, que se coordinó con las autoridades de los Estados Unidos y Canadá. Las tres naciones alegaron que el grupo de hackers APT29, también conocido como Cozy Bear (“oso amigable”) y del que se dice que forma parte del servicio de inteligencia ruso, está atacando a las instituciones de investigación académica y farmacéutica que participan en el desarrollo de la vacuna contra el coronavirus, con el fin de robar información.
Los persistentes y continuos ataques son vistos por los funcionarios de inteligencia como un esfuerzo para robar la propiedad intelectual, pero no para interrumpir las investigaciones. La campaña de “actividad maliciosa” está en curso e incluye ataques ”predominantemente contra objetivos gubernamentales, diplomáticos, de centros de estudios, de salud y de energía,″ dijo el Centro Nacional de Ciberseguridad en un comunicado.
No está claro si alguna información llegó a ser efectivamente robada, pero el organismo dice que la información confidencial de los individuos afectados no se ha visto comprometida. Cozy Bear, alternativamente llamado “Los Duques”, ha sido identificado por Washington como uno de los dos grupos de hackers vinculados al gobierno ruso que irrumpieron en la red informática del Comité Nacional Demócrata y robaron correos electrónicos antes de las elecciones presidenciales de 2016. El otro grupo suele llamarse Fancy Bear (“oso sofisticado”).
“APT29 utiliza una variedad de herramientas y técnicas para dirigirse predominantemente a objetivos gubernamentales, diplomáticos, de centros de investigación, sanitarios y energéticos para obtener información”, informó el Centro Nacional de Ciberseguridad. “El grupo está utilizando malwares personalizados conocido como ‘WellMess’ y ‘WellMail’ para dirigirse a varias organizaciones a nivel mundial. Esto incluye a aquellas organizaciones involucradas en el desarrollo de la vacuna contra el COVID-19. WellMess y WellMail no habían sido sido previamente asociados públicamente a APT29”.
WellMess es un malware escrito en Golang o .NET y ha estado en uso desde al menos 2018. Se llama así por uno de los nombres de sus funciones: ‘wellmess’. Es un malware ligero diseñado para ejecutar comandos shell arbitrarios, cargar y descargar archivos. El malware soporta métodos de comunicación HTTP, TLS y DNS.
WellMail es otra herramienta ligera diseñada para ejecutar comandos o scripts y los resultados se envían a un servidor codificado. El NCSC ha denominado a este malware ‘WellMail’ debido a las rutas de archivo que contienen la palabra ‘mail’ y al uso del puerto 25 del servidor presente en la muestra analizada. Como WellMess, WellMail utiliza certificados TLS de cliente y de autoridad de certificación codificados para comunicarse con los servidores C2.
Cozy Bear utiliza con frecuencia fallas de seguridad de dominio público para realizar escaneos generalizados contra sistemas vulnerables, en un esfuerzo por obtener credenciales de autenticación que le permitan un mayor acceso. Esta amplia selección de objetivos puede dar al grupo acceso a un gran número de sistemas en todo el mundo, muchos de los cuales no tienen quizás un valor de inteligencia inmediato, pero pueden tenerlo en el futuro, como se ve ahora con los centros de investigación que están desarrollando tratamientos contra el coronavirus.
“El grupo puede mantener un almacén de credenciales robadas para acceder a esos sistemas en caso de que se vuelvan más pertinentes para sus necesidades. En los recientes ataques dirigidos a la investigación y el desarrollo de la vacuna contra el COVID-19, el grupo llevó a cabo un escaneo de vulnerabilidad básica contra direcciones de IP externas de las organizaciones. A continuación, el grupo explotó las vulnerabilidades de los servicios identificados”, explicó el informe.
Una vez que acceden a un sistema, los hackers abandonan estos instrumentos y buscan obtener credenciales legítimas de los sistemas comprometidos para mantener un acceso permanente. Todo indica que utilizan servicios de anonimato al usar las credenciales robadas, de modo que no puedan ser identificados.
“Es probable que APT29 siga atacando a las organizaciones que participan en la investigación y el desarrollo de la vacuna contra el COVID-19, en la medida en que traten de responder a cuestiones de inteligencia adicionales relacionadas con la pandemia. Se recomienda encarecidamente a las organizaciones que utilicen las normas aconsejadas para detectar la actividad que se detalla en este informe”, sostuvo el NCSC en la conclusión del documento difundido.
Con información de AP
MÁS SOBRE ESTE TEMA
Últimas Noticias
El Líbano e Israel acordaron una lista de países para verificar el desarme de Hezbollah
Un funcionario libanés dijo que Washington tomará la decisión final tras una semana de conversaciones en la embajada estadounidense en Roma, con la posibilidad de seleccionar a más de un Estado
Una plataforma de intercambio de criptomonedas vinculada a Irán gestionó USD 6.300 millones
Procesó operaciones entre 2024 y 2026 y habría facilitado eludir restricciones financieras, con transferencias rastreadas hacia cuentas vinculadas a la Guardia Revolucionaria Islámica y Hamás
Se separaron, rastreó a su esposa hasta Edimburgo y la apuñaló 12 veces delante de su hija: el heroico rol de tres transeúntes
Osarenkhoe Atutie, de 26 años, atacó a Victory en Duke Street con un cuchillo y fue condenado a siete años y medio de prisión. El juez sostuvo que la intervención de los testigos fue lo que le salvó la vida
Ocurrió a plena luz del día: una mujer apuñaló a cuatro hombres con tijeras en el corazón turístico de Londres
Stella Gollovena, de 47 años, atacó a cuatro personas en Endell Street, Covent Garden, y los agentes debieron recurrir a pistolas Taser para reducirla. Todos los heridos recibieron el alta médica
Condenan a 35 años a un granjero inglés que mató a su empleado de un escopetazo, lo descuartizó y escondió sus restos en un barril con cemento
El Tribunal de Sheffield sentenció a Christopher Wright, agricultor de South Yorkshire, por el homicidio de Richard Dyson en 2019, cuyo paradero permaneció oculto hasta que una nueva pista reactivó la causa en 2025. El agresor alegó que la víctima le robaba armas antiguas
