El actor de amenazas persistentes avanzadas (APT) conocido como Winter Vivern tiene ahora como objetivo a funcionarios de Europa y Estados Unidos como parte de una campaña de ciberespionaje en curso.
"Desde al menos febrero de 2023, TA473 ha aprovechado continuamente una vulnerabilidad no parcheada de Zimbra en los portales de correo web de cara al público que les permite acceder a los buzones de correo electrónico de las entidades gubernamentales en Europa", dijo Proofpoint en un nuevo informe.
La firma de seguridad empresarial está siguiendo la actividad bajo su propio apodo TA473 (alias UAC-0114), describiéndola como una banda de adversarios cuyas operaciones se alinean con las de los objetivos geopolíticos rusos y bielorrusos.
Lo que le falta en sofisticación, le sobra en persistencia. En los últimos meses, el grupo ha estado vinculado a ataques dirigidos contra autoridades estatales de Ucrania y Polonia, así como contra funcionarios gubernamentales de la India, Lituania, Eslovaquia y el Vaticano.
La oleada de intrusiones relacionadas con la OTAN supone la explotación de CVE-2022-27926 (puntuación CVSS: 6,1), un fallo de seguridad de gravedad media ya parcheado en Zimbra Collaboration que podría permitir a atacantes no autentificados ejecutar código JavaScript o HTML arbitrario.
Esto también implica el empleo de herramientas de escaneado como Acunetix para identificar portales de correo web sin parches pertenecientes a organizaciones objetivo con el objetivo de enviar correos electrónicos de phishing bajo la apariencia de organismos gubernamentales benignos.
Los mensajes vienen con URLs trampa que explotan el fallo de cross-site scripting (XSS) en Zimbra para ejecutar cargas útiles JavaScript codificadas en Base64 dentro de los portales de correo web de las víctimas para extraer nombres de usuario, contraseñas y tokens de acceso.
Vale la pena señalar que cada carga JavaScript está adaptada al portal de correo web objetivo, lo que indica que el actor de la amenaza está dispuesto a invertir tiempo y recursos para reducir la probabilidad de detección.
"El enfoque persistente de TA473 hacia el escaneo de vulnerabilidades y la explotación de vulnerabilidades sin parches que afectan a los portales de correo web de cara al público es un factor clave en el éxito de este actor", dijo Proofpoint.
"El enfoque del grupo en el reconocimiento sostenido y el estudio minucioso de los portales de correo web expuestos al público para revertir la ingeniería JavaScript capaz de robar nombres de usuario, contraseñas y tokens CSRF demuestra su inversión en comprometer objetivos específicos."
Los hallazgos se producen en medio de revelaciones de que al menos tres agencias de inteligencia rusas, entre ellas el FSB, la GRU (vinculada a Sandworm) y la SVR (vinculada a APT29), probablemente utilizan software y herramientas de pirateo desarrolladas por un contratista de TI con sede en Moscú llamado NTC Vulkan.
Esto incluye marcos como Scan (para facilitar la recopilación de datos a gran escala), Amesit (para llevar a cabo operaciones de información y manipular la opinión pública) y Krystal-2B (para simular ataques coordinados de IoT contra sistemas de control de ferrocarriles y oleoductos).
"Krystal-2B es una plataforma de entrenamiento que simula ataques OT contra diferentes tipos de entornos OT en coordinación con algunos componentes IO aprovechando Amesit 'con el propósito de perturbar'", dijo Mandiant, propiedad de Google.
"Los proyectos contratados de NTC Vulkan proporcionan una visión de la inversión de los servicios de inteligencia rusos en el desarrollo de capacidades para desplegar operaciones más eficientes dentro del inicio del ciclo de vida del ataque, una pieza de las operaciones a menudo oculta a nuestra vista", dijo la firma de inteligencia de amenazas.
Fuentes: thehackernews