El gobierno de Estados Unidos informó el jueves de que había desbaratado una red de bots compuesta por cientos de routers para pequeñas oficinas y oficinas domésticas (SOHO) en el país que el actor APT28, vinculado a Rusia, utilizaba para ocultar sus actividades maliciosas.
"Estos delitos incluían vastas campañas de spear-phishing y de recogida de credenciales similares contra objetivos de interés de inteligencia para el gobierno ruso, como gobiernos estadounidenses y extranjeros y organizaciones militares, de seguridad y corporativas", dijo el Departamento de Justicia de Estados Unidos (DoJ) en un comunicado.
APT28, también rastreada bajo los alias BlueDelta, Fancy Bear, Fighting Ursa, Forest Blizzard (antes Strontium), FROZENLAKE, Iron Twilight, Pawn Storm, Sednit, Sofacy y TA422, está vinculada a la Unidad 26165 de la Dirección Principal del Estado Mayor (GRU) de Rusia. Se sabe que está activa desde al menos 2007.
Los documentos judiciales alegan que los atacantes llevaron a cabo sus campañas de ciberespionaje apoyándose en MooBot, una red de bots basada en Mirai que ha seleccionado routers fabricados por Ubiquiti para cooptarlos en una malla de dispositivos que pueden modificarse para actuar como proxy, retransmitiendo tráfico malicioso y ocultando sus direcciones IP reales.
La red de bots, según el Departamento de Justicia, permitía a los autores de la amenaza enmascarar su verdadera ubicación y recopilar credenciales y hashes de NT LAN Manager (NTLM) v2 a través de secuencias de comandos a medida, así como alojar páginas de aterrizaje de spear-phishing y otras herramientas personalizadas para forzar contraseñas, robar contraseñas de usuario de routers y propagar el malware MooBot a otros dispositivos.
En una declaración jurada redactada presentada por la Oficina Federal de Investigación de Estados Unidos (FBI), la agencia dijo que MooBot explota routers Ubiquiti vulnerables y de acceso público utilizando credenciales predeterminadas e implanta un malware SSH que permite el acceso remoto persistente al dispositivo.
"Los ciberdelincuentes no GRU instalaron el malware MooBot en routers Ubiquiti Edge OS que aún utilizaban contraseñas de administrador predeterminadas conocidas públicamente", explicó el DoJ. "Los hackers del GRU utilizaron entonces el malware MooBot para instalar sus propios scripts y archivos a medida que reutilizaron la botnet, convirtiéndola en una plataforma global de ciberespionaje".
Se sospecha que los actores de APT28 han encontrado y accedido ilegalmente a routers Ubiquiti comprometidos realizando escaneos públicos de Internet utilizando un número de versión específico de OpenSSH como parámetro de búsqueda y, a continuación, utilizando MooBot para acceder a esos routers.
Las campañas de spear-phishing emprendidas por el grupo de piratas informáticos también han aprovechado un zero-day en Outlook (CVE-2023-23397) para desviar credenciales de inicio de sesión y transmitirlas a los routers.
"En otra campaña identificada, los actores de APT28 diseñaron una página de destino falsa de Yahoo! para enviar las credenciales introducidas en la página falsa a un router Ubiquiti comprometido para que los actores de APT28 las recogieran a su conveniencia", dijo el FBI.
Como parte de sus esfuerzos por desarticular la botnet en EE.UU. y evitar nuevos delitos, se han emitido una serie de comandos no especificados para copiar los datos robados y los archivos maliciosos antes de borrarlos y modificar las reglas del cortafuegos para bloquear el acceso remoto de APT28 a los routers.
El número exacto de dispositivos comprometidos en EE.UU. ha sido censurado, aunque el FBI señaló que podría cambiar. Los dispositivos Ubiquiti infectados se han detectado en "casi todos los estados", añadió.
La operación autorizada por los tribunales -denominada Dying Ember- se produce apenas unas semanas después de que Estados Unidos desmantelara otra campaña de piratería informática patrocinada por el Estado y originada en China, que utilizaba una red de bots diferente, con el nombre en clave de KV-botnet, para atacar instalaciones de infraestructuras críticas.
El pasado mes de mayo, Estados Unidos también anunció el desmantelamiento de una red mundial comprometida por una cepa de malware avanzado apodada Snake y utilizada por piratas informáticos asociados al Servicio Federal de Seguridad de Rusia (FSB), también conocida como Turla.
Fuente: thehackernews