Los actores de amenazas reciben emojis para evitar ser detectados
Para los actores de amenazas, los emojis se han convertido en algo más que simples adornos en mensajes digitales.
En plataformas de redes sociales como Telegram y Discord, así como en foros y comunidades clandestinos, muchos las utilizan cada vez más para señalar, ofuscar y coordinar con otras personas en todo el mundo.
Un cambio integral
«El uso de emojis refleja un cambio más amplio en la forma en que los actores de amenazas se comunican hacia formas de interacción más rápidas, visuales y adaptables». punto de inflamabilidad dijo en un análisis esta semana.
Las organizaciones que integran el análisis de emojis en sus flujos de inteligencia sobre amenazas pueden detectar mejor las campañas emergentes, identificar actividades maliciosas de alto valor, atribuir y rastrear a los actores de amenazas e interpretar sus intenciones. «Si bien los emojis por sí solos no son indicadores cruciales, proporcionan una capa adicional de señales que pueden fortalecer el análisis general», dijo la firma de inteligencia de amenazas.
Los actores de amenazas están explotando cada vez más la ubicuidad y la apariencia inocua de los emojis para una variedad de actividades, como ocultar comunicaciones de comando y control (C2), ofuscar ataques y deslizar malware más allá de las defensas.
En una campaña notable, el grupo APT vinculado a Pakistán utilizó UTA0137 “Disgomoji«Malware que traduce emojis simples enviados a través de Discord en comandos operativos. Ejemplos de activadores simbólicos en Disgomoji incluyen el uso de un emoji de cámara para tomar capturas de pantalla, un emoji de fuego para filtrar archivos y un emoji de calavera para finalizar procesos. Otros han notado la aparición de C2 basado en emojis Operaciones que reutilizan emojis comunes para ejecutar comandos, confirmar la finalización de tareas y organizar el movimiento de datos entre sistemas comprometidos. Además, los emojis también han aparecido en el código de malware y «Contrabando de emojis“Técnicas en las que los actores de amenazas incorporan cargas útiles maliciosas en emojis de apariencia inofensiva para eludir los controles de seguridad.
Según Flashpoint, el uso de emojis para comunicarse tiene dos propósitos para los actores de amenazas. Al utilizar emojis en lugar de palabras clave asociadas con técnicas de fraude y otras actividades maliciosas, los actores de amenazas pueden eludir los filtros básicos de palabras clave y reducir la visibilidad en entornos automatizados. En segundo lugar, los emojis permiten a los atacantes comunicarse de manera más efectiva en entornos de gran volumen, como los canales de estafa de Telegram, comunidades de phishing y carding, y mercados ilegales. Es importante destacar que los emojis permiten una comunicación multilingüe más eficaz en los ecosistemas globales en los que suelen operar los ciberdelincuentes.
Casos de uso comunes
El análisis de Flashpoint mostró que los actores de amenazas usan emojis con mayor frecuencia en comunicaciones relacionadas con fraude financiero y monetización, acceso, credenciales y compromiso, y para señalar la funcionalidad de herramientas y servicios. Por ejemplo, un actor de amenazas podría usar el símbolo de una tarjeta para indicar datos de tarjetas de pago robadas o actividad de la tarjeta, una billetera para indicar ganancias o retiros, una llave para indicar credenciales y un candado abierto para indicar un robo exitoso. «Estos símbolos suelen aparecer en publicaciones de ventas, registros de estafas o historias de éxito y ayudan a los actores a identificar rápidamente oportunidades asociadas con ganancias financieras», dijo Flashpoint.
Otros casos de uso incluyen emojis como medio para comunicar las capacidades de un actor de amenazas: un robot para señalar la disponibilidad de un servicio de bot o herramientas de automatización, un engranaje para indicar configuración, instalación o servicios de infraestructura, y una caja de herramientas para servicios y kits de herramientas empaquetados. Luego están los emojis para indicar una categoría o región objetivo, como un emoji de edificio para indicar una empresa o un grupo objetivo de empresas, y banderas de países para una orientación geográfica específica.
Cuando estos emojis se utilizan junto con jerga, abreviaturas y frases multilingües, se crea «una forma de ofuscación de múltiples capas que complica los esfuerzos de vigilancia a gran escala», señaló Flashpoint.
Por otro lado, debido a que el uso de emojis tiende a caer en ciertos patrones reconocibles con el tiempo, brindan a los cazadores e investigadores de amenazas la capacidad de identificar y rastrear actores y grupos de amenazas. Los patrones comunes incluyen, por ejemplo, la misma combinación de emojis en publicaciones de ventas o los mismos estilos de formato y estructuras de mensajes. Dichos patrones permiten rastrear y vincular las actividades de un actor de amenazas a través de diferentes canales, plataformas y alias.
Este contenido de ciberseguridad nos ha llegado de: DarkReading
Puedes encontrar la noticia original en el enlace que se encuentra a continuación: https://www.darkreading.com/cyber-risk/emojis-power-covert-threat-actor-communications
