SideWinder APT descubre que está robando criptomonedas

Los investigadores vincularon el atractivo SideWinder APT con dos campañas maliciosas, una en 2020 y otra en 2021, que impulsaron el volumen a un frenesí de ataque atribuido al prolífico actor de amenazas en los últimos años y muestra cuán extenso es realmente su arsenal de tácticas y herramientas.

A informe publicado esta semana por Group-IB, vincula a SideWinder (también conocido como Rattlesnake o T-APT4) con un ataque conocido contra el gobierno de Maldivas en 2020, así como con una serie previamente desconocida de operaciones de phishing dirigidas a organizaciones en Afganistán, Bután, Myanmar, Nepal y otros apuntaron a Sri Lanka entre junio y noviembre de 2021.

Los resultados muestran que el grupo está lanzando una red mucho más amplia de lo que se pensaba anteriormente, utilizando una gran cantidad de herramientas que incluyen troyanos de acceso remoto (RAT) no identificados previamente, puertas traseras, shells inversos y stagers. La investigación de los investigadores sobre estos ataques también vincula al grupo con otras APT conocidas, incluido Baby Elephant, que en realidad podría ser el mismo SideWinder, y Donot APT, dijeron.

El informe también arroja más luz sobre la naturaleza geográficamente dispersa de las actividades del grupo, con investigadores descubriendo direcciones IP controladas por SideWinder ubicadas en los Países Bajos, Alemania, Francia, Moldavia y Rusia, dijeron los investigadores.

lateral, activo desde 2012 reconocido por Kaspersky en el primer trimestre de 2018 y tiene como objetivo principal la infraestructura militar de Pakistán. Sin embargo, este último informe muestra que el público objetivo del grupo es universalmente aceptado relacionado con el espionaje indio Intereses: va mucho más allá de eso.

«SideWinder ha estado apuntando sistemáticamente a organizaciones gubernamentales en el sur y este de Asia con fines de espionaje durante aproximadamente 10 años», escribió Dmitry Kupin, analista senior de malware en el equipo de inteligencia de amenazas de Group-IB, en el informe.

Específicamente, los investigadores identificaron más de 60 objetivos, incluidas agencias gubernamentales, organizaciones militares, agencias de aplicación de la ley, bancos centrales, compañías de telecomunicaciones, medios, organizaciones políticas y más, de la campaña de phishing recientemente identificada. Los destinos se encuentran en varios países, incluidos Afganistán, Bután, Myanmar, Nepal y Sri Lanka.

Recursos de phishing sofisticados

Los ataques de phishing, en los que SideWinder se hace pasar por entidades conocidas para atraer a las víctimas, también mostraron cuán extensa es su infraestructura de phishing, dijeron los investigadores. Esto tiene sentido ya que el spear phishing ha sido durante mucho tiempo el primer método de acceso del grupo, dijeron.

Los hallazgos de phishing, que no confirmaron si SideWinder tuvo éxito en sus intentos de comprometer a las víctimas, también revelan algo previamente desconocido sobre el grupo: un interés en apuntar a las criptomonedas.

En los ataques de phishing entre junio de 2021 y noviembre de 2021, el grupo se hizo pasar por el banco central de Myanmar, utilizando un sitio web en su arsenal que imita a la institución financiera, y un sistema de pago sin contacto llamado Internet de las cosas (IoT), que se utiliza en India Nucleus Vision, también conocida como Nitro Network.

Las campañas también se destacan por mostrar a SideWinder intentando robar criptomonedas imitando un lanzamiento aéreo de criptomonedas NCASH, dijeron los investigadores. NCASH se usa como una forma de pago en el ecosistema Nucleus Vision, que las tiendas minoristas en India han estado usando, dijeron.

En particular, los investigadores descubrieron un enlace de phishing relacionado con Airdrop, una tecnología de Apple para enviar archivos a través de sus dispositivos móviles. Cuando los usuarios hacen clic en el enlace (http://5[.]2[.]79[.]135/project/project/index.html) se les pidió registrarse para participar en un airdrop y recibir tokens, aunque no se especificó cuáles. Al presionar el botón «Enviar detalles», el usuario activa un script login.php, que los investigadores dicen que el grupo está utilizando para desarrollar aún más este vector de ataque.

herramientas y telegrama

Group-IB también descubrió una gran cantidad de herramientas personalizadas utilizadas por SideWinder, de las cuales solo algunas se habían descrito públicamente anteriormente y se desarrollaron en varios lenguajes de programación, incluidos C ++, C #, Go, Python (script compilado) y VBScript.

Parte de ese arsenal es la última herramienta personalizada del grupo, SideWinder.AntiBot.Script, un ladrón de información escrito en Python que se ha utilizado en ataques de phishing documentados previamente contra organizaciones paquistaníes.

El script puede extraer el historial de navegación de una víctima de Google Chrome, las credenciales de inicio de sesión almacenadas en el navegador, la lista de carpetas en el directorio y la metainformación y el contenido de los archivos .docx, .pdf y .txt. Es una parte importante de la notoriedad del grupo por realizar «cientos de operaciones de espionaje en un corto espacio de tiempo», escribió Kupin.

Otro descubrimiento, y quizás el «más interesante», del arsenal de herramientas de SideWinder fueron las muestras de RAT, que utilizaron la aplicación de mensajería Telegram como un canal para recibir los resultados de los comandos de malware y, por lo tanto, recuperar los datos robados de los sistemas comprometidos, comentó Kupin.

Esta táctica se está convirtiendo cada vez más en un sello distintivo de muchos actores de amenazas avanzadas, dijo.

Cómo evitar SideWinders

El informe incluye una variedad de indicadores de compromiso y URL asociados con ataques SideWinder.

Debido a que SideWinder, al igual que muchos otros grupos de APT, se basa en el phishing selectivo como vector de ataque inicial, es importante que las organizaciones «establezcan soluciones de protección de correo electrónico empresarial capaces de detonar archivos adjuntos maliciosos en un entorno virtual aislado», explica Kupin a Dark. Lectura. Las empresas también deben ejecutar pruebas de penetración de ingeniería social para que los empleados puedan detectar rápidamente los correos electrónicos de phishing que llegan a las bandejas de entrada, agrega.

Las organizaciones en riesgo de SideWinder también deben monitorear continuamente la actividad de la red dentro del perímetro corporativo utilizando soluciones administradas de detección y respuesta extendida (MXDR), que se actualizan regularmente con nuevos indicadores y reglas de red, dice Kupin.