Los ataques de Stealth Soldier se dirigen a las agencias gubernamentales de Libia que utilizan malware de vigilancia

Se ha detectado una ola de ataques APT (Advanced Persistent Threat) contra los libios utilizando malware que asume funciones de vigilancia.

Descubierto por Investigación de puntos de controlEl malware Stealth Soldier realiza principalmente funciones de vigilancia, como exfiltración de archivos, grabación de pantalla y micrófono, registro de pulsaciones de teclas y robo de información del navegador. Este malware también agrega una puerta trasera modular personalizada no documentada, y los investigadores afirman que la última versión probablemente se envió en febrero.

Los investigadores de Check Point dijeron que la versión más antigua se ensambló en octubre pasado y creen que la red de Comando y Control (C2) es parte de una infraestructura más grande utilizada para campañas de phishing dirigido contra entidades gubernamentales.

Hay evidencia de que los servidores Malware C2 están asociados con un conjunto más grande de dominios, dijo la compañía, y es probable que estos servidores se usen para campañas de phishing. Algunos de los dominios también afirman ser páginas del Ministerio de Relaciones Exteriores de Libia.

Sergey Shykevich, gerente del grupo de inteligencia de amenazas de Check Point, dice que actualmente se desconoce el mecanismo de entrega del descargador, pero que los mensajes de phishing probablemente fueron la táctica utilizada. En cuanto a la infraestructura, dice que los investigadores «se centraron en apuntar al gobierno libio».

¿Enlaces al pasado?

La infraestructura del Stealth Soldier tiene cierta superposición con la infraestructura utilizada en el «Stealth Soldier».Ojo en el Nilo“Campaña desplegada contra objetivos egipcios en 2019. Los investigadores creen que esta es la primera reaparición posible de este actor de amenazas desde entonces. Shykevich confirma que no se han detectado ataques contra usuarios egipcios utilizando el malware Stealth Soldier.

Sin embargo, según los investigadores de Check Point, la versión 8 del C2 en el malware Stealth Solder también fue resuelta por múltiples dominios de Eye on the Nile, mientras que también se descubrieron múltiples superposiciones de infraestructura con dominios conocidos de Eye on the Nile.

Cuando se le preguntó si cree que los tipos de malware Eye on the Nile y Stealth Soldier están siendo utilizados por los mismos atacantes, o si son los mismos C2 potencialmente alquilados y el mismo malware, Shykévich dice que la evidencia nos da solo «una confianza moderada en la conexión entre la campaña actual y Eye on the Nile: según las superposiciones que hemos visto solo, es difícil decir con 100% de certeza que son lo mismo». actuando, pero hay una buena posibilidad de que lo sea.

Los investigadores reconocieron que Libia no es a menudo el foco de los informes de APT, pero la investigación sugiere que los atacantes detrás de esta campaña tienen motivaciones políticas y utilizan el malware Stealth Soldier y una extensa red de dominios de phishing para llevar a cabo operaciones de vigilancia y espionaje contra objetivos libios. .

«Dada la modularidad del malware y el uso de múltiples etapas de infección, es probable que los atacantes evolucionen en sus tácticas y técnicas e implementen nuevas versiones de este malware en un futuro cercano», dijeron los investigadores en el aviso.