APT “SloppyLemming” abusa del servicio Cloudflare en Pakistán

Un actor de amenazas está utilizando los servicios en la nube de Cloudflare Worker y otras herramientas para espiar objetivos gubernamentales y policiales en el subcontinente indio y sus alrededores.

“SloppyLemming” es una amenaza persistente avanzada (APT) que Crowdstrike (bajo el nombre de Outrider Tiger) ha vinculado anteriormente con la India. Esta atribución es consistente con el reciente intento del grupo de robar información valiosa de una variedad de organizaciones sensibles en países cercanos a la frontera con la India.

Entre las víctimas se incluyen agencias gubernamentales (legislaturas, asuntos exteriores, defensa), proveedores de TI y telecomunicaciones, empresas de construcción y la única planta de energía nuclear de Pakistán. La policía paquistaní y otros organismos encargados de hacer cumplir la ley han sido objeto de ataques especiales, pero los ataques de SloppyLemming también se han extendido al ejército y a los gobiernos de Bangladesh y Sri Lanka, así como a organizaciones de los sectores energético y científico de China. También hubo indicios de posibles ataques en Canberra, la capital de Australia, o sus alrededores.

La campaña, descrita en una nueva publicación de blog de Cloudflare, utiliza Discord, Dropbox, GitHub y, lo más importante, la propia plataforma «Workers» de Cloudflare en cadenas de ataques de phishing que terminan en Recolección de credenciales y fraude por correo electrónico.

Los piratas informáticos utilizan trabajadores de Cloudflare

Los ataques de SloppyLemming generalmente comienzan con un correo electrónico de phishing, por ejemplo, una alerta de mantenimiento falsa del departamento de TI de una estación de policía. En el segundo paso, el ataque se vuelve más evidente cuando se abusa del servicio Workers de Cloudflare.

Cloudflare Workers es una plataforma informática sin servidor para ejecutar scripts que procesan el tráfico web que fluye a través de los servidores globales de Cloudflare. Estos son esencialmente bloques de JavaScript que interceptan solicitudes al sitio web de un usuario en tránsito, antes de que lleguen al servidor de origen del usuario y les apliquen una función, como por ejemplo: B. Redirigir enlaces o agregar encabezados de seguridad.

Al igual que otros servicios legítimos flexibles y multifuncionales, se puede abusar de Cloudflare Workers con fines maliciosos. En 2020, los piratas informáticos coreanos utilizaron trabajadores para spam SEOY una puerta trasera llamada «BlackWater» lo usó para interactuar con su servidor de comando y control (C2); al año siguiente, los atacantes lo utilizaron para… Estafas de criptomonedas.

SloppyLemming utiliza una herramienta personalizada llamada «CloudPhish» para manejar la lógica de inicio de sesión y la exfiltración. Los usuarios de CloudPhish primero definen sus objetivos y el canal previsto para la exfiltración. Luego, el programa elimina el contenido HTML asociado con la página de inicio de sesión del correo web del objetivo, creando un imitador malicioso. Cuando el objetivo ingresa sus credenciales, se las roban a través de un webhook de Discord.

Abuso de servicios en la nube

SloppyLemming tiene más trucos bajo la manga. En algunos casos utilizó un trabajador malintencionado para token de OAuth de Google.

Se utilizó otro trabajador para redirigir a una URL de Dropbox que contenía un archivo RAR que explotaba CVE-2023-38831, un problema de gravedad «alta», con calificación CVSS de 7,8 sobre 10 en las versiones 6.23 de WinRAR. La misma vulnerabilidad fue descubierta recientemente por un grupo de amenaza ruso contra ciudadanos ucranianos. Al final de esta cadena de exploits de Dropbox había una herramienta de acceso remoto (RAT) que involucraba a varios otros trabajadores.

«Están utilizando al menos tres, cuatro o cinco herramientas de nube diferentes», señala Blake Darché, director de Cloudforce One en Cloudflare. “Los actores de amenazas generalmente intentan explotar las organizaciones utilizando diferentes servicios de diferentes empresas. [victims] no pueden coordinar sus actividades”.

Para comprender las cadenas de ataques que abarcan tantas plataformas, dice: «Es necesario tener un buen control de su red e implementar arquitecturas de confianza cero para comprender lo que entra y sale de su red en los diferentes bordes: el tráfico DNS. , tráfico de correo electrónico, tráfico web y comprenderlo todo en su totalidad. Creo que muchas organizaciones realmente luchan en esta área”.