Midnight Blizzard apunta a redes con archivos RDP firmados

Midnight Blizzard, un grupo de amenazas vinculado al servicio de inteligencia exterior de Rusia, está generando más preocupación de lo habitual, tanto por su gran escala como por el uso de nuevas tácticas para recopilar información y obtener control de los sistemas de las víctimas.

Microsoft dijo esta semana que su grupo de inteligencia de amenazas observó que los actores de Midnight Blizzard enviaron miles de correos electrónicos de phishing a objetivos en más de 100 organizaciones en todo el mundo desde el 22 de octubre.

Campaña a gran escala

Además de su amplio alcance, la campaña se destaca por el uso por parte de Midnight Blizzard de un archivo de configuración de Protocolo de escritorio remoto (RDP) firmado digitalmente en sus correos electrónicos de phishing. El archivo RDP se conecta a un servidor controlado por un actor de amenazas. Cuando se abre el archivo, el atacante puede recopilar credenciales de usuario e información detallada del sistema para respaldar futuras actividades de explotación.

«Los correos electrónicos estaban muy dirigidos y utilizaban señuelos de ingeniería social relacionados con Microsoft, Amazon Web Services (AWS) y el concepto de Zero Trust». microsoft dijo en el blog de Threat Intelligence Group esta semana. «Microsoft ha observado que esta campaña está dirigida a agencias gubernamentales, educación superior, defensa y organizaciones no gubernamentales en docenas de países, pero particularmente en el Reino Unido, Europa, Australia y Japón».

Midnight Blizzard, también conocido como Cozy Bear, APT29 y UNC2452, ha sido una espina proverbial para las organizaciones de seguridad durante varios años. Entre las numerosas víctimas del grupo se incluyen Vientos solares, microsoft, HPEvarias veces autoridades federales de EE. UU.Y unidades diplomáticas mundial. Las tácticas, técnicas y procedimientos (TTP) bien documentados incluyen el uso de phishing, credenciales robadas y ataques a la cadena de suministro de primer acceso. Los actores de Midnight Blizzard también han atacado vulnerabilidades en tecnologías de red y colaboración ampliamente utilizadas, como las de Fortinet, Pulse Secure, Citrix y Zimbra, para obtener acceso inicial a una red objetivo.

Conexión bidireccional

El archivo RDP en los correos electrónicos de Microsoft, AWS y Zero Trust en la última campaña de Midnight Blizzard permite al atacante establecer una conexión bidireccional rápida con un dispositivo comprometido. El actor de amenazas lo utiliza para recopilar una variedad de información, incluidas credenciales de usuario, archivos y directorios en el sistema de la víctima y las unidades de red conectadas. Información de tarjetas inteligentes conectadas y otros dispositivos periféricos; Credenciales de autenticación web; y datos del portapapeles. El archivo RDF está firmado con un certificado LetsEncrypt para darle un aire de legitimidad. «Este acceso podría permitir al actor de la amenaza instalar malware en las unidades locales del objetivo y en los recursos compartidos de red mapeados, particularmente en las carpetas de inicio automático, o instalar herramientas adicionales como troyanos de acceso remoto (RAT) para mantener el acceso durante la sesión RDP cerrada». Microsoft advirtió.

Stephen Kowski, director de tecnología de campo de SlashNext, dice que el uso de archivos RDP firmados por parte de Midnight Blizzard es significativo en su campaña actual. Los archivos RDP firmados pueden eludir los controles de seguridad tradicionales porque parecen provenir de una fuente legítima, señala.

«Esta técnica es particularmente sofisticada porque los archivos RDP se usan comúnmente en entornos empresariales y, por lo tanto, es menos probable que despierten sospechas inmediatas, mientras que la firma legítima ayuda a eludir los sistemas estándar de detección de malware», afirma. Aboga por que las empresas escaneen todos los archivos adjuntos de los correos electrónicos en tiempo real, con especial atención en los archivos RDP y otros contenidos aparentemente legítimos relacionados con Microsoft. «El uso de archivos firmados legítimamente crea un importante punto ciego para las herramientas de seguridad tradicionales que dependen en gran medida de la detección basada en firmas o de la puntuación de reputación», aconseja Kowski.

Mitigar la amenaza

Microsoft ha publicado una lista de indicadores de compromiso para la nueva campaña Midnight Blizzard, incluidos dominios de remitente de correo electrónico, archivos RDP y dominios de computadoras remotas RDP. Se recomendó a los equipos de seguridad que revisaran la configuración de seguridad del correo electrónico, las medidas antivirus y antiphishing de su organización. encender Enlaces seguros Y Archivos adjuntos seguros Configuración en Office 365; y, si es necesario, habilitar medidas para poner en cuarentena los correos electrónicos enviados. Otras recomendaciones incluyen el uso de firewalls para bloquear conexiones RDP, implementar autenticación multifactor y fortalecer las configuraciones de seguridad de los terminales.

Venky Raju, director de tecnología de campo de ColorTokens, dice que la campaña es un recordatorio de por qué las empresas deben mantener un estricto control sobre el uso del escritorio remoto de Microsoft. Si bien puede resultar útil compartir dispositivos, carpetas y contenidos del portapapeles a través de una sesión RDP, proporciona a los atacantes acceso al dispositivo de un usuario. “Firmar el archivo de configuración RDP puede evitar que los sistemas de seguridad del correo electrónico clasifiquen el correo electrónico como un enlace o archivo adjunto sospechoso. Esto también puede reducir las advertencias que muestra el cliente RDP”, señala.