Una campaña de ciberespionaje vinculada a Rusia atacó a un constructor naval, a un fabricante de motores para aviones militares y a una agencia de aplicación de la ley en dos países de la OTAN sin nombrar, según hallazgos de Symantec publicados por The Record.
Symantec atribuyó la actividad a APT28, también conocido como Fancy Bear, BlueDelta y Forest Blizzard. El grupo se ha relacionado con la agencia de inteligencia militar rusa, el GRU, aunque en este caso la atribución sigue siendo una valoración de Symantec.
La operación duró al menos dos meses, desde una primera infección confirmada el 24 de julio. El 24 de septiembre seguía detectándose actividad maliciosa relacionada. La analista de Symantec Dick O'Brien explicó que la actividad de septiembre, posterior a una investigación independiente publicada en agosto, indicaba que la campaña seguía en curso.
Ese marco temporal de la campaña no significa que los atacantes mantuvieran un acceso ininterrumpido a cada una de las víctimas. Los investigadores no pudieron establecer un acceso continuo durante todo el periodo, mientras que O'Brien señaló que los intrusos permanecieron en algunas redes durante unas pocas semanas.
Un adjunto de Word abrió la puerta a un constructor naval
En el caso del constructor naval, un empleado abrió en julio un documento malicioso de Microsoft Word recibido como adjunto de correo electrónico. Una vez dentro, los atacantes examinaron la red interna de la organización e intentaron obtener credenciales de acceso.
Las herramientas iniciales incluían Hookedge, una puerta trasera capaz de establecer acceso, recopilar información sobre una red y robar credenciales. Según el informe, el Insikt Group de Recorded Future documentó por primera vez Hookedge en agosto.
Durante la semana posterior a la apertura del documento, los atacantes volvieron repetidamente a un equipo comprometido. También instalaron una herramienta no documentada previamente que descifra código malicioso y lo ejecuta directamente en memoria. Los investigadores no han determinado cuál es la finalidad última de esa herramienta.
El uso de un componente en memoria complica la detección, porque las pruebas relevantes pueden no limitarse a los archivos convencionales almacenados en disco. Por eso, la telemetría de correo electrónico, de endpoints, de autenticación y de red puede ser clave para reconstruir la actividad tras la apertura de un documento sospechoso.
El robo de datos sensibles sigue sin confirmarse
Los investigadores no pudieron determinar si los atacantes lograron extraer información sensible de los entornos afectados.
O'Brien consideró probable que el objetivo fuera obtener inteligencia relacionada con la defensa, dado el perfil de las organizaciones elegidas. También afirmó que un acceso de varias semanas pudo haber dado oportunidades para obtener datos. Ninguno de los dos puntos confirma que la información haya sido realmente exfiltrada.
No se han revelado las identidades de las organizaciones ni de los dos países de la OTAN. Symantec interpretó la combinación de objetivos de la industria de defensa y de organismos gubernamentales como parte de un esfuerzo ruso más amplio de recopilación de inteligencia dirigido a instituciones europeas.
Prioridades defensivas para organizaciones potencialmente expuestas
La actividad no se presentó como la explotación de una vulnerabilidad de software concreta, por lo que la respuesta inmediata no se centra en un parche específico. Las organizaciones de los sectores europeos de defensa, aeroespacial y aplicación de la ley deberían revisar si sus empleados recibieron o abrieron adjuntos de Word inesperados, y cruzar esos eventos con accesos posteriores a credenciales, reconocimiento de la red y actividad repetida en el equipo del destinatario.
Los sistemas que muestren indicios compatibles con un compromiso deberían aislarse mientras los investigadores determinan el alcance del acceso. Las credenciales accesibles desde esos sistemas deberían considerarse potencialmente expuestas y renovarse mediante el proceso de respuesta a incidentes de la organización. Los defensores también deberían revisar las pruebas en memoria, en endpoints y en la red, y no basarse únicamente en análisis de archivos almacenados en disco.
La actividad más reciente de la campaña notificada se detectó el 24 de septiembre, lo que hace especialmente relevantes las revisiones retrospectivas para las organizaciones que pudieron recibir correos sospechosos con documentos desde julio.
