Agencias de ciberseguridad e inteligencia de Australia, Canadá, Nueva Zelanda, Reino Unido y Estados Unidos revelaron el jueves detalles de una cepa de malware móvil dirigida a dispositivos Android utilizados por el ejército ucraniano.
El software malicioso, apodado Infamous Chisel y atribuido a un actor ruso patrocinado por el Estado llamado Sandworm, tiene capacidades para "permitir el acceso no autorizado a dispositivos comprometidos, escanear archivos, monitorizar el tráfico y robar periódicamente información sensible".
Algunos aspectos del malware fueron descubiertos por el Servicio de Seguridad de Ucrania (SBU) a principios de agosto, poniendo de relieve los intentos infructuosos por parte de los adversarios de penetrar en las redes militares ucranianas y recopilar valiosa información de inteligencia.
Sandworm, también conocido por los nombres de FROZENBARENTS, Iron Viking, Seashell Blizzard y Voodoo Bear, hace referencia al Centro Principal de Tecnologías Especiales (GTsST) de la Dirección General de Inteligencia rusa (GRU).
Activo desde al menos 2014, el equipo de piratas informáticos es más conocido por su serie de campañas cibernéticas destructivas y perturbadoras que utilizan malware como Industroyer, BlackEnergy y NotPetya.
En julio de 2023, Mandiant, propiedad de Google, afirmó que las operaciones cibernéticas maliciosas de GRU se adhieren a un libro de jugadas que ofrece ventajas tácticas y estratégicas, lo que permite a los actores de la amenaza adaptarse rápidamente a un "entorno operativo de ritmo rápido y altamente disputado" y, al mismo tiempo, maximizar la velocidad, la escala y la intensidad sin ser detectados.
Infamous Chisel se describe como una colección de múltiples componentes diseñados con la intención de permitir el acceso remoto y extraer información de teléfonos Android.
Además de escanear los dispositivos en busca de información y archivos que coincidan con un conjunto predefinido de extensiones de archivo, el malware también contiene funcionalidades para escanear periódicamente la red local y ofrecer acceso SSH.
"Infamous Chisel también proporciona acceso remoto configurando y ejecutando TOR con un servicio oculto que reenvía a un binario Dropbear modificado que proporciona una conexión SSH", afirmó la alianza de inteligencia Five Eyes (FVEY).
Una breve descripción de cada uno de los módulos es la siguiente:
- netd - Recopilan y extraen información del dispositivo comprometido a intervalos determinados, incluso de directorios específicos de aplicaciones y navegadores web.
- td - Proporcionar servicios TOR
- blob - Configurar servicios Tor y comprobar la conectividad de red (ejecutado por netd)
- tcpdump - Utilidad tcpdump legítima sin modificaciones
- killer - Termina el proceso netd
- db - Contiene varias herramientas para copiar archivos y proporcionar acceso shell seguro al dispositivo a través del servicio oculto TOR utilizando una versión modificada de Dropbear
- NDBR - Un binario multi-llamada similar a db que viene en dos sabores para poder ejecutarse en arquitecturas de CPU Arm (ndbr_armv7l) e Intel (ndbr_i686)
La persistencia en el dispositivo se logra mediante la sustitución del demonio netd legítimo, que es responsable de la configuración de red en Android, con una versión falsa, lo que le permite ejecutar comandos como usuario root.
"Los componentes de Infamous Chisel son de sofisticación baja a media y parecen haber sido desarrollados con poca consideración a la evasión de la defensa o la ocultación de la actividad maliciosa", dijeron las agencias.
"La búsqueda de archivos específicos y rutas de directorios relacionados con aplicaciones militares y la exfiltración de estos datos refuerza la intención de obtener acceso a estas redes. Aunque los componentes carecen de técnicas básicas de ofuscación o sigilo para disfrazar la actividad, el actor puede haber considerado que esto no era necesario, ya que muchos dispositivos Android no tienen un sistema de detección basado en host."
La noticia llega cuando el Centro Nacional de Coordinación de la Ciberseguridad de Ucrania (NCSCC) ha revelado los intentos de phishing de otra organización de hacking respaldada por el Kremlin y conocida como Gamaredon (también conocida como Aqua Blizzard, Shuckworm o UAC-0010) para desviar información clasificada.
La agencia gubernamental dijo que el actor de amenazas, que ha atacado repetidamente a Ucrania desde 2013, está intensificando los ataques contra entidades militares y gubernamentales con el objetivo de cosechar datos confidenciales relacionados con sus operaciones de contraofensiva contra las tropas rusas.
"Gamaredon utiliza documentos legítimos robados de organizaciones comprometidas para infectar a las víctimas", dijo NCSCC. "Gamaredon utiliza documentos legítimos robados de organizaciones comprometidas para infectar a las víctimas".
El grupo tiene un historial de abuso de Telegram y Telegraph como solucionadores de puntos muertos para recuperar información relativa a su infraestructura de mando y control (C2), al tiempo que aprovecha un arsenal "bien redondeado" de herramientas de malware para cumplir sus objetivos estratégicos.
Se trata de GammaDrop, GammaLoad, GammaSteel, LakeFlash y Pterodo, esta última una herramienta polivalente perfeccionada para el espionaje y la filtración de datos.
"Su versatilidad a la hora de desplegar diversos módulos la convierte en una potente amenaza, capaz de infiltrarse y comprometer sistemas objetivo con precisión", afirma el NCSCC.
"Aunque Gamaredon puede no ser el grupo de amenazas técnicamente más avanzado que tiene como objetivo Ucrania, sus tácticas muestran una evolución calculada. La creciente frecuencia de los ataques sugiere una expansión de su capacidad operativa y sus recursos."
Fuente: thehackernews