La APT rusa “Winter Vivern” apunta a gobiernos y militares europeos

El grupo de amenaza aliado de Rusia llamó viveros de invierno fue descubierto en octubre explotando vulnerabilidades de secuencias de comandos entre sitios (XSS) en servidores de correo web de Roundcube en toda Europa, y ahora sus víctimas están saliendo a la luz.

Según el informe del Grupo Insikt de Recorded Future sobre la campaña publicado hoy, el grupo apuntó principalmente a la infraestructura gubernamental, militar y nacional en Georgia, Polonia y Ucrania.

El informe también destacó otros objetivos, incluida la embajada iraní en Moscú, la embajada iraní en los Países Bajos y la embajada de Georgia en Suecia.

Utilizando sofisticadas técnicas de ingeniería social, la APT (que Insikt llama TAG-70 y que también se conoce como TA473 y UAC-0114) utilizó un Explotación de día cero de Roundcube obteniendo acceso no autorizado a servidores de correo específicos en al menos 80 organizaciones diferentes, desde sectores de transporte y educación hasta organizaciones de investigación química y biológica.

Se cree que la campaña se utilizó para recopilar información sobre asuntos políticos y militares europeos, posiblemente para obtener ventajas estratégicas o socavar la seguridad y las alianzas europeas, dijo Insikt.

Se sospecha que el grupo lleva a cabo campañas de ciberespionaje en interés de Bielorrusia y Rusia y ha estado activo desde al menos diciembre de 2020.

Las motivaciones geopolíticas de Winter Vivern para el ciberespionaje

La campaña de octubre estuvo relacionada con actividades anteriores de TAG-70 contra servidores de correo del gobierno uzbeko, de las que Insikt Group informó en febrero de 2023.

Una motivación obvia para los ataques ucranianos es el conflicto con Rusia.

«En el contexto de la guerra en curso en Ucrania, los servidores de correo electrónico comprometidos podrían revelar información confidencial sobre los esfuerzos y la planificación bélica de Ucrania, sus relaciones y negociaciones con sus países socios mientras busca asistencia militar y económica adicional». [which] «Exponer a terceros que trabajan en privado con el gobierno ucraniano y revelar divisiones dentro de la coalición que apoya a Ucrania», decía el informe de Insikt.

Mientras tanto, el enfoque en las embajadas iraníes en Rusia y los Países Bajos puede estar relacionado con el motivo de evaluar los compromisos diplomáticos y las posiciones de política exterior en curso de Irán, especialmente dada la participación de Irán en el apoyo a Rusia en el conflicto en Ucrania.

Del mismo modo, los ataques de espionaje a la embajada de Georgia en Suecia y al Ministerio de Defensa de Georgia probablemente se deban a objetivos de política exterior comparables, especialmente porque Georgia ha reavivado su intento de ser miembro de la Unión Europea y de la OTAN tras la invasión rusa de Ucrania a principios de 2019 y la OTAN en 2022.

Otros objetivos notables incluyeron organizaciones en los sectores de logística y transporte, lo cual es revelador dado el telón de fondo de la guerra en Ucrania, ya que las redes logísticas sólidas han demostrado ser cruciales para que ambas partes mantengan su capacidad de combate.

Contrarrestar el ciberespionaje es difícil

Las campañas de ciberespionaje van en aumento: a principios de este mes se descubrió una sofisticada APT rusa comenzó una campaña de ataque PowerShell dirigida contra el ejército ucraniano, mientras que otra APT rusa, Turla, atacó a ONG polacas con un nuevo malware de puerta trasera.

Ucrania también lo tiene lanzó sus propios ciberataques contra Rusiaque atacó los servidores del proveedor de servicios de Internet de Moscú M9 Telecom en enero en represalia por la violación del operador móvil Kyivstar, respaldada por Rusia.

Sin embargo, el informe del Grupo Insikt señaló que mitigar tales ataques puede resultar difícil, especialmente en el caso de explotar vulnerabilidades de día cero.

Sin embargo, las empresas pueden mitigar el impacto de un compromiso cifrando los correos electrónicos y considerando formas alternativas de comunicación segura para transmitir información particularmente confidencial.

También es importante asegurarse de que todos los servidores y el software estén parcheados y actualizados y que los usuarios sólo deben abrir correos electrónicos de contactos de confianza.

Las empresas también deben limitar la cantidad de información confidencial almacenada en los servidores de correo practicando una buena higiene, reduciendo la retención de datos y restringiendo la información y las conversaciones confidenciales a sistemas de alto nivel más seguros cuando sea posible.

El informe también señaló que la divulgación responsable de las vulnerabilidades, particularmente aquellas explotadas por actores APT como TAG-70, es fundamental por varias razones.

Un analista de inteligencia de amenazas de Insikt Group de Recorded Future explicó por correo electrónico que este enfoque garantiza que las vulnerabilidades se parcheen y remedien rápidamente antes de que otros las descubran y abusen de ellas, y que permite la contención de exploits por parte de atacantes sofisticados y esto evita daños mayores y más rápidos.

«En última instancia, este enfoque aborda los riesgos inmediatos y promueve mejoras a largo plazo en las prácticas globales de ciberseguridad», explicó el analista.