Las organizaciones de Ucrania han sido blanco de cibercriminales de origen ruso con el objetivo de sustraer datos confidenciales y mantener un acceso persistente a las redes comprometidas.
Según un nuevo informe del equipo de Symantec y Carbon Black Threat Hunter, la actividad se dirigió contra una gran organización de servicios empresariales durante dos meses y contra una entidad gubernamental local del país durante una semana
Los ataques se basaron principalmente en tácticas de living-off-the-land (LotL) y herramientas de doble uso, junto con un mínimo de malware, para reducir las huellas digitales y pasar desapercibidos durante largos periodos de tiempo
"Los atacantes obtuvieron acceso a la organización de servicios empresariales mediante el despliegue de shells web en servidores públicos, probablemente aprovechando una o varias vulnerabilidades sin parchear", afirmaron los equipos de ciberseguridad propiedad de Broadcom en un informe compartido con The Hacker News
Uno de los web shells utilizados en el ataque fue Localolive, que anteriormente había sido señalado por Microsoft como utilizado por un subgrupo del equipo Sandworm, vinculado a Rusia, como parte de una campaña de varios años con el nombre en clave BadPilot. LocalOlive está diseñado para facilitar la entrega de cargas útiles de siguiente fase, como Chisel, plink y rsockstun. Se ha utilizado al menos desde finales de 2021
Los primeros indicios de actividad maliciosa dirigida a la organización de servicios empresariales se remontan al 27 de junio de 2025, cuando los atacantes aprovecharon su punto de apoyo para introducir un shell web y utilizarlo para llevar a cabo un reconocimiento. También se ha descubierto que los autores de la amenaza ejecutan comandos de PowerShell para excluir las descargas del equipo de los análisis de Microsoft Defender Antivirus, así como para configurar una tarea programada que realiza un volcado de memoria cada 30 minutos.
Durante las siguientes dos semanas, los atacantes llevaron a cabo diversas acciones, entre ellas:
- Guarde una copia del subárbol del Registro en un archivo llamado 1.log
- Desplegar más web shells
- Usar el shell web para enumerar todos los archivos del directorio de usuario
- Ejecutar un comando para listar todos los procesos en ejecución que comienzan por kee, probablemente con el objetivo de atacar el almacén de contraseñas KeePass
- Listar todas las sesiones de usuario activas en una segunda máquina
- Ejecutar los ejecutables llamados «service.exe» y «cloud.exe» ubicados en la carpeta Descargas
- Ejecutar comandos de reconocimiento en una tercera máquina y realizar un volcado de memoria utilizando la herramienta de diagnóstico de fugas de recursos de Microsoft Windows (RDRLeakDiag).
- Modificar el registro para permitir las conexiones RDP entrantes.
- Ejecutar un comando de PowerShell para recuperar información sobre la configuración de Windows en una cuarta máquina.
- Ejecutar RDPclip para obtener acceso al portapapeles en conexiones de escritorio remoto.
- Instalar OpenSSH para facilitar el acceso remoto al ordenador
- Ejecutar un comando de PowerShell para permitir el tráfico TCP en el puerto 22 para el servidor OpenSSH
- Crear una tarea programada para ejecutar una puerta trasera desconocida de PowerShell (link.ps1) cada 30 minutos utilizando una cuenta de dominio
- Ejecutar un script desconocido de Python
- Implementar una aplicación legítima de gestión de routers MikroTik («winbox64.exe») en la carpeta Descargas
Curiosamente, la presencia de winbox64.exe también fue documentada por CERT-UA en abril de 2024 en relación con una campaña de Sandworm dirigida a proveedores de energía, agua y calefacción en Ucrania.
Symantec y Carbon Black afirmaron que no pudieron encontrar ninguna prueba en las intrusiones que las relacionara con Sandworm, pero señalaron que parecía ser de origen ruso. La empresa de ciberseguridad también reveló que los ataques se caracterizaron por el despliegue de varias puertas traseras de PowerShell y ejecutables sospechosos que probablemente sean malware. Sin embargo, no se ha obtenido ninguno de estos artefactos para su análisis.
"Aunque los atacantes utilizaron una cantidad limitada de malware durante la intrusión, gran parte de la actividad maliciosa que tuvo lugar implicó herramientas legítimas, ya fuera software Living-off-the-Land o de doble uso introducido por los atacantes", afirmaron Symantec y Carbon Black.
"Los atacantes demostraron un profundo conocimiento de las herramientas nativas de Windows y mostraron cómo un atacante experto puede llevar a cabo un ataque y robar información confidencial, como credenciales, dejando un rastro mínimo en la red objetivo".
La revelación se produce después de que Gen Threat Labs detallara cómo Gamaredon aprovechó una vulnerabilidad de seguridad ya corregida en WinRAR (CVE-2025-8088, puntuación CVSS: 8,8) para atacar a organismos gubernamentales ucranianos.
"Los atacantes están abusando de #CVE-2025-8088 (traversal de ruta de WinRAR) para entregar archivos RAR que descargan silenciosamente malware HTA en la carpeta de inicio, sin necesidad de interacción por parte del usuario más allá de abrir el PDF benigno que contiene", afirmó la empresa en una publicación en X. "Estos señuelos están diseñados para engañar a las víctimas y que abran archivos maliciosos, continuando con un patrón de ataques agresivos visto en campañas anteriores"
Los hallazgos también siguen a un informe de Recorded Future, que descubrió que el ecosistema ciberdelictivo ruso está siendo moldeado activamente por campañas internacionales de aplicación de la ley, como la Operación Endgame, lo que ha cambiado la relación del Gobierno ruso con los grupos de ciberdelincuencia, pasando de una tolerancia pasiva a una gestión activa.
Un análisis más detallado de los chats filtrados ha revelado que las figuras destacadas de estos grupos de amenazas suelen mantener relaciones con los servicios de inteligencia rusos, a los que proporcionan datos, realizan tareas o aprovechan el soborno y las conexiones políticas para obtener impunidad. Al mismo tiempo, los grupos de ciberdelincuentes están descentralizando sus operaciones para eludir la vigilancia occidental y nacional.
Aunque se sabe desde hace tiempo que los ciberdelincuentes rusos pueden operar libremente siempre que no ataquen a empresas o entidades que operan en la región, el Kremlin parece estar adoptando ahora un enfoque más matizado, en el que recluta o cooptan talentos cuando es necesario, hace la vista gorda cuando los ataques coinciden con sus intereses y aplica las leyes de forma selectiva cuando los autores de las amenazas se vuelven políticamente inconvenientes o vergonzosos para el exterior.
Desde este punto de vista, el pacto oscuro es una combinación de varias cosas: una empresa comercial, una herramienta de influencia y adquisición de información, y también una responsabilidad cuando amenaza la estabilidad nacional o debido a la presión occidental.
"El mundo clandestino de los ciberdelincuentes rusos se está fracturando bajo la doble presión del control estatal y la desconfianza interna, mientras que la vigilancia de los foros privados y las conversaciones de los afiliados al ransomware muestran una creciente paranoia entre los operadores", señaló la empresa en su tercera entrega del informe Dark Covenant.
Fuente: thehackernews