Un nuevo grupo delictivo se mueve en la red acometiendo estafas financieras
Un nuevo grupo delictivo, denominado TA866, se está movilizando en la red para cometer estafas financieras contra usuarios y empresas. Este grupo se distingue por realizar capturas de pantalla en los dispositivos de sus víctimas antes de instalar un bot o stealer malicioso.
Estudio de Proofpoint revela su metodología
Las conclusiones sobre TA866 han sido extraídas a partir del último estudio presentado por los investigadores de Proofpoint. Entre octubre de 2022 y enero de 2023, se analizó el comportamiento de este grupo. La campaña FINTEAM de abril de 2019, descrita por Check Point y Trend Micro, incluía un archivo adjunto denominado «Military Financing.xlsm».
Metodología del grupo TA866
Una vez que los hackers acceden a los dispositivos de sus víctimas, se dedican a grabar y hacer «pantallazos» de la actividad. Si consideran útil la información obtenida, proceden a infectarlos. Son ataques muy meditados y a escala que les permiten obtener servicios de otros proveedores.
Actividad del grupo en distintas fechas
En octubre, TA866 envió un número exacto de correos electrónicos. Los meses de noviembre y diciembre registraron un aumento en el envío de mensajes y estafas acometidas. Los envíos se realizaban una o dos veces por semana al principio, llegando a una media de cuatro envíos semanales. A principios de 2023 se percibió un descenso considerable en la frecuencia de las campañas, aunque la cantidad de emails enviados siguió aumentando, siendo los días 23 y 24 de enero los de mayor actividad.
Actividades recientes del grupo TA866
Entre sus actividades más recientes se encuentra el ataque a diferentes miembros de gobiernos europeos involucrados en los movimientos de refugiados después de la guerra de Ucrania. Por las líneas de código detectadas, así como por las bases de sus ataques, todo apunta a que se trata de un grupo de actuación de origen ruso.
Comentarios en el código del AHK Bot
Las investigaciones de Proofpoint señalan que se han encontrado comentarios escritos en ruso dentro del código del AHK Bot. Esto sugiere que el desarrollador es nativo, o bien se han copiado de otras fuentes sin eliminar esas frases. No obstante, AHK Bot podría ser de uso exclusivo de un ecosistema cerrado de ciberdelincuencia para sus amenazas.
Dinámica de las actuaciones del grupo TA866
TA866 sigue una dinámica constante en sus actuaciones. Comienzan enviando un correo electrónico con un archivo adjunto, normalmente PDF o de Publisher, que lleva a los malwares WasabiSeed y Screenshotter a entrar en el dispositivo de la víctima. Se pueden emplear también programas como Rhadamanthys Stealer y AHK Bot.
Entrada mediante técnicas de secuestro de hilos
Mediante la técnica de thread hijacking o secuestro de hilos de conversación, los usuarios son incitados a abrir una presentación adjunta. TA866 no solo se introduce en los dispositivos a través de la carpeta de spam, sino también mediante anuncios falsos instalados en diferentes páginas web a partir de Google Ads.
Examen manual de capturas de pantalla
Los ciberdelincuentes examinan manualmente las capturas de pantalla de sus víctimas durante su horario de trabajo con el malware Screenshotter. A partir de ahí, realizan un perfil de cada usuario y determinan si les resulta útil continuar con la infección.
Condiciones para que un ataque triunfe
Para que un ataque de TA866 triunfe, será necesario que el usuario hiciese clic en un enlace o interactuase con un archivo malicioso que descarga y ejecuta. Por ello, la educación en ciberseguridad es clave para frenar su poder de actuación.
Ámbito de influencia del grupo TA866
Los ataques se dirigen especialmente a medianas y grandes empresas. Aunque se han centrado en organizaciones de distintos sectores económicos de Estados Unidos, están expandiendo su poder de actuación hasta Europa, especialmente a Alemania (entre el 8 de diciembre de 2022 y el 24 de enero de 2023). No siempre tienen pretensiones de carácter financiero, pues en 2019 se concluyó que sus objetivos estaban relacionados con el ciberespionaje.
