La APT rusa Turla utiliza nuevos tipos de malware de puerta trasera contra ONG polacas

Grupo de Amenaza Persistente Avanzada (APT) patrocinado por Rusia Turla ahora está atacando a ONG polacas como parte de una campaña de ciberespionaje utilizando una puerta trasera recientemente desarrollada con capacidades modulares, lo que indica una expansión en el alcance de sus ataques contra los partidarios del esfuerzo bélico de Ucrania.

Según Cisco Talos Publicación de blog publicada hoy en Turla (también conocido como Snake, Urobouros, Venomous Bear o WaterBug), la puerta trasera utilizada en los ataques denominada «TinyTurla-NG» tiene características muy similares al conocido malware personalizado del mismo nombre de la APT. Actúa como una puerta trasera de «última oportunidad» que permanece detrás y se utiliza después de que todos los demás mecanismos de acceso/puerta trasera no autorizados hayan fallado o hayan sido detectados en los sistemas infectados», escriben los investigadores de Cisco Talos en la publicación.

El malware personalizado TinyTurla-NG se vuelve modular

TinyTurla-NG, como TinyTurla antes, es un servicio DLL que se inicia a través de svchost.exe. Sin embargo, el código del malware es nuevo y diferentes funciones del malware se distribuyen en diferentes subprocesos durante el proceso de implementación, lo que lo distingue de su predecesor.

La APT también alberga varios scripts de PowerShell y comandos arbitrarios que pueden ejecutarse en la computadora de la víctima dependiendo de las necesidades del atacante, otra desviación de las funciones de puerta trasera anteriores, dijeron los investigadores. Además, ofrece funciones adicionales, como la ejecución de comandos mediante la elección entre dos mecanismos: PowerShell o la interfaz de línea de comandos de Windows.

«Esto sugiere que Turla modulariza su malware en diferentes componentes, probablemente para evitar la detección y el bloqueo de una única puerta trasera voluminosa responsable de todo lo que hay en el punto final infectado», dijo un investigador de Cisco Talos a Dark Reading.

TinyTurla-NG también implementa un implante basado en PowerShell previamente desconocido llamado TurlaPower-NG que está específicamente dirigido a extraer archivos que podrían ser de interés para los atacantes, lo que indica otro cambio en las tácticas de la APT. En los ataques a las ONG polacas, Turla utilizó el implante PowerShell para proteger las bases de datos de contraseñas de software de gestión popular, «lo que sugiere un intento concertado por parte de Turla de robar credenciales», dice el investigador.

Turla: Perro viejo, trucos viejos y nuevos

Turla es una APT experimentada que ha estado involucrada en ataques que se cree que fueron en nombre del gobierno ruso durante varios años. El grupo utilizó dias cero, software legítimoY otras técnicas Implementar puertas traseras en los sistemas. militares y gobiernos, unidades diplomáticasY Organizaciones de tecnología e investigación.. En un caso, incluso estaba vinculadoa través de su puerta trasera Kazuar, hasta la ahora infame infracción de SolarWinds.

La fecha de compromiso más temprana de esta última campaña contra las ONG polacas que apoyan a Ucrania fue el 18 de diciembre y permaneció activa hasta el 27 de enero de este año, según los investigadores. Sin embargo, hay algunos indicios de que podría haber comenzado incluso antes, en noviembre.

Sin embargo, TinyTurla-NG y TurlaPower-NG son nuevas formas personalizadas. malware Turla Mientras está desplegado en la campaña, el grupo continúa utilizando viejas tácticas, particularmente Comando y Control (C2). Por ejemplo, continúa utilizando sitios web comprometidos basados ​​en WordPress como C2 para alojar y operar el malware.

«Los operadores utilizan varios sitios web que ejecutan versiones vulnerables de WordPress (versiones que incluyen 4.4.20, 5.0.21, 5.1.18 y 5.7.2) que permitieron la carga de archivos PHP que contienen el código C2», decía en la publicación.

Defensa contra sofisticados ciberataques APT

Cisco Talos ha incluido una lista de hashes y dominios en su lista de indicadores de compromiso (IoC) para la última campaña de Turla, así como una lista de soluciones de seguridad que pueden brindar protección a las organizaciones que temen ser atacadas.

En general, los investigadores recomiendan a las organizaciones “un defensa multicapa Model” que permite la detección y el bloqueo de actividades maliciosas desde el compromiso inicial hasta la implementación de la carga útil final para defenderse contra amenazas APT complejas, dice el investigador de Cisco Talos.

«Es esencial que las empresas identifiquen y protejan contra adversarios tan sofisticados y altamente motivados en múltiples superficies de ataque», afirma el investigador.

Cisco Talos también recomienda que las organizaciones aprovechen las actividades prácticas del teclado, como el archivado de archivos relevantes y la posterior exfiltración, para protegerse aún más contra ataques dirigidos.