El ataque del vecino más cercano de Fancy Bear utiliza una red Wi-Fi cercana

Un sofisticado ataque de ciberespionaje utilizado por la infame Amenaza Persistente Avanzada (APT) rusa. oso de lujo al comienzo de la actual guerra entre Rusia y Ucrania demuestra un novedoso vector de ataque que un actor de amenazas puede utilizar para infiltrarse de forma remota en la red de una organización distante comprometiendo una red Wi-Fi cercana.

Fancy Bear (también conocido como APT28 o Forest Blizzard) irrumpió en la red de una organización estadounidense utilizando este método, que los investigadores de Volexity llaman un ataque de “vecino más cercano”.

«El actor de la amenaza logró esto encadenando sus acciones para comprometer a múltiples organizaciones cercanas a su objetivo previsto, la Organización A». Investigador de volexidad Sean Koessel, Steven Adair y Tom Lancaster escribieron en detalle sobre el ataque en una publicación. «Esto fue hecho por un actor amenazante a miles de kilómetros y a un océano de distancia de la víctima».

El hack demuestra «una nueva clase de ataque» para un atacante tan alejado del objetivo previsto como para utilizar el método Wi-Fi, dijeron los investigadores. Pistas de volexidad oso de lujo – una parte del Estado Mayor Ruso de Inteligencia General (GRU), que ha sido un adversario activo durante al menos 20 años – como “GruesomeLarch”, uno de los APT tiene muchos nombres.

Volexity descubrió el ataque por primera vez poco antes de la invasión rusa de Ucrania en febrero de 2022, cuando una firma de detección que Volexity implementó en un cliente indicó un servidor comprometido. En última instancia, los investigadores concluyeron que Fancy Bear utilizó el ataque de la organización con sede en Washington, DC para «recopilar datos de personas conocedoras de Ucrania y involucradas activamente en proyectos».

Relacionado:Confidencial de lectura oscura: conozca a los negociadores de ransomware

Un ciberataque encadenado a múltiples organizaciones

El ataque implicó oso de lujo Realice ataques de relleno de credenciales para comprometer al menos dos redes Wi-Fi cercanas físicamente al objetivo. Luego, el atacante utilizó credenciales para comprometer la organización porque, según Volexity, los ataques de relleno de credenciales por sí solos no podían comprometer la red de la organización objetivo debido al uso de autenticación multifactor (MFA).

«Sin embargo, la red Wi-Fi no estaba protegida por MFA, lo que significa que la proximidad a la red objetivo y las credenciales válidas eran los únicos requisitos para la conexión», escriben los investigadores.

En última instancia, la investigación reveló «hasta dónde está dispuesto a llegar un actor de amenazas creativo, ingenioso y motivado para lograr sus objetivos de ciberespionaje», escribieron.

En el transcurso de una larga investigación, Volexity no solo trabajó con la organización objetivo, sino que también estableció contactos con otras dos organizaciones (también conocidas como Organizaciones B y C) que fueron pirateadas para finalmente lograr el objetivo.

Relacionado:Se filtran datos de las víctimas de la Yakuza en el ataque de la agencia japonesa

Al final, Volexity descubrió una estructura de ataque para penetrar en la Organización A que utilizaba credenciales privilegiadas para conectarse a ella a través del Protocolo de escritorio remoto (RDP) desde otro sistema en la red de la Organización B.

«Este sistema tenía doble hogar y estaba conectado a Internet a través de Ethernet por cable, pero también tenía un adaptador de red Wi-Fi que podía usarse simultáneamente», explicaron los investigadores en su artículo. «El atacante encontró este sistema y utilizó un script de PowerShell personalizado para examinar las redes disponibles dentro del alcance de su Wi-Fi, luego se conectó al Wi-Fi corporativo de la Organización A utilizando las credenciales que comprometió».

Además, la APT también utilizó dos modos de acceso a la red de la Organización B para penetrar el objetivo real, encontraron los investigadores. La primera opción era utilizar la pulverización de contraseñas para utilizar credenciales que les permitieran conectarse a la VPN de la organización, que no estaba protegida por MFA. Volexity también encontró evidencia de que el atacante se había conectado al Wi-Fi de la Organización B a través de otra red propiedad de la cercana Organización C, lo que demuestra el enfoque de cadena del ataque, escribieron los investigadores.

Relacionado:La ciberseguridad es fundamental, pero las infracciones no tienen por qué ser catástrofes

Durante todo el ataque oso de lujo adoptó un enfoque de vivir de la tierra, aprovechando los protocolos estándar de Microsoft y moviéndose lateralmente en toda la empresa. Los investigadores descubrieron que una herramienta particular que utilizaron en particular fue una herramienta integrada de Windows, Cipher.exe, que se incluye con todas las versiones modernas de Windows.

Cuidado con tus vecinos (WiFi)

El ataque destaca un nuevo riesgo de compromiso para las organizaciones a través de Wi-Fi Incluso cuando un atacante está lejos, los defensores deben «prestar mayor consideración a los riesgos que las redes Wi-Fi pueden representar para su seguridad operativa» y tratarlas «con el mismo cuidado y atención que otros servicios de acceso remoto, como las redes privadas virtuales». (VPN)”, observaron los investigadores.

Las recomendaciones para que las organizaciones eviten un ataque de este tipo incluyen la creación de entornos de red separados para redes cableadas Wi-Fi y Ethernet, particularmente donde las redes basadas en Ethernet brindan acceso a recursos confidenciales. También debería considerar requisitos de acceso más estrictos para las redes Wi-Fi, como la aplicación de requisitos MFA para autenticación o soluciones basadas en certificados.

Para detectar un ataque similar una vez que el actor de la amenaza está presente en la red, las organizaciones deberían considerar monitorear el uso común de las utilidades Netsh y Cipher.exe y colocar una alerta por uso anómalo. Los defensores también pueden crear reglas de detección personalizadas para buscar archivos que se ejecutan desde varias ubicaciones no estándar, como: B. en la raíz de C:\ProgramData\ y mejorar la detección de filtración de datos de servicios conectados a Internet que se ejecutan en un entorno.