Informe de actividad de ESET APT Q2-Q3 2023

El Informe de actividad de ESET APT Q2-Q3 2023 resume las actividades de grupos seleccionados de amenazas persistentes avanzadas (APT) observados, investigados y analizados por los investigadores de ESET desde abril de 2023 hasta finales de septiembre de 2023. Durante el período monitoreado, observamos una notable evolución de la estrategia de los grupos APT que explotan vulnerabilidades conocidas para extraer datos de departamentos gubernamentales u organizaciones relacionadas. Sednit y Sandworm, aliados de Rusia, Konni, aliado de Corea del Norte, y Winter Vivern y Sturgeon Phisher, no asignados geográficamente, aprovecharon la oportunidad para explotar vulnerabilidades en WinRAR (Sednit, SturgeonPhisher y Konni), Roundcube (Sednit y Winter Vivern) y Zimbra (Winter Vivern) y Outlook para Windows (Sednit) apuntarán a varias organizaciones gubernamentales en Ucrania, Europa y Asia Central. Con respecto a los actores de amenazas alineados con China, GALLIUM probablemente aprovechó las vulnerabilidades en los servidores Microsoft Exchange o IIS y amplió su objetivo desde operadores de telecomunicaciones a organizaciones gubernamentales de todo el mundo; MirrorFace probablemente aprovechó las vulnerabilidades del servicio de almacenamiento en línea Proself; y TA410 probablemente aprovechó fallas en el servidor de aplicaciones Adobe ColdFusion.

Los grupos alineados con Irán y Medio Oriente continuaron operando a gran escala, centrándose principalmente en el espionaje y el robo de datos de organizaciones en Israel. En particular, MuddyWater, alineado con Irán, también apuntó a una empresa no identificada en Arabia Saudita y desplegó una carga útil que sugiere que este actor de amenazas podría estar actuando como un equipo de desarrollo de acceso para un grupo más avanzado.

El principal objetivo de los grupos alineados con Rusia siguió siendo Ucrania, donde descubrimos nuevas versiones de los conocidos limpiaparabrisas RoarBat y NikoWiper, así como un nuevo limpiaparabrisas llamado SharpNikoWiper, todos implementados por Sandworm. Curiosamente, mientras otros grupos, como Gamaredon, GREF y SturgeonPhisher, apuntan a los usuarios de Telegram para tratar de exfiltrar información o al menos algunos metadatos relacionados con Telegram, Sandworm utiliza activamente este servicio para tomar medidas activas y promueve sus operaciones de cibersabotaje. Sin embargo, el grupo más activo en Ucrania siguió siendo Gamaredon, que mejoró significativamente sus capacidades de recopilación de datos al volver a desarrollar las herramientas existentes y desplegar otras nuevas.

Los grupos afiliados a Corea del Norte continuaron centrándose en Japón, Corea del Sur y empresas centradas en Corea del Sur, utilizando correos electrónicos de phishing cuidadosamente elaborados. El programa Lazarus más observado activamente fue la Operación DreamJob, en la que se atraía a los objetivos con ofertas de trabajo falsas para puestos lucrativos. Este grupo ha demostrado constantemente su capacidad para crear malware para las principales plataformas de escritorio. Finalmente, nuestros investigadores descubrieron las operaciones de tres grupos alineados con China no identificados previamente: DigitalRecyclers, que comprometen repetidamente a una organización gubernamental en la UE; Los magos realizan ataques de adversario en el medio; y PerplexedGoblin, que apunta a otra organización gubernamental de la UE.

Los productos de ESET detectan las actividades maliciosas descritas en el Informe de actividad de ESET APT del segundo y tercer trimestre de 2023; La inteligencia compartida se basa principalmente en datos de telemetría patentados de ESET y ha sido verificada por investigadores de ESET.

Los países, regiones e industrias afectados por los grupos APT descritos en este informe incluyen: