El grupo de cibercriminales Gamaredon, respaldado por el estado ruso, ha sido identificado recientemente debido a la rapidez con que ejecuta sus ataques.
Características del grupo
También conocido como Aqua Blizzard, Armageddon, Shuckworm o UAC-0010. Gamaredon se estima que ha infectado miles de sistemas gubernamentales.
Vínculos con instituciones rusas
Este grupo está estrechamente vinculado a la oficina principal del SBU en la República Autónoma de Crimea, anexada por Rusia en 2014.
Técnicas de ataque y propagación
- Gamaredon utiliza principalmente correos electrónicos y mensajes en aplicaciones como Telegram, WhatsApp y Signal para comprometer sus objetivos.
- Los mensajes suelen contener archivos adjuntos que se hacen pasar por documentos de Microsoft Office, pero en realidad son archivos como HTM, HTA o LNK.
- Al abrir estos archivos, se desencadena una secuencia de ataques que descarga y ejecuta scripts de PowerShell y malware, como GammaSteel, en el dispositivo de la víctima.
- También se ha observado que el grupo emplea técnicas de infección USB para propagarse.
Impacto y capacidad de extracción de datos
Este malware tiene la capacidad de filtrar archivos con extensiones específicas, tales como .doc, .docx, .xls, .xlsx, .rtf, .odt, .txt, .jpg, .jpeg, .pdf, .ps1, .rar, .zip, .7z y .mdb.
En un período de 30 a 50 minutos, pueden extraer los archivos de interés.
Acceso remoto y persistencia
- Utilizan herramientas como AnyDesk para acceder de forma remota a los sistemas comprometidos.
- Utilizan scripts de PowerShell para secuestrar sesiones y aplicaciones como Telegram y Telegraph, con el fin de obtener información de un servidor de comando y control (C2).
- Los atacantes de Gamaredon toman medidas para garantizar su resistencia y evitar la detección en las redes.
Estrategias de evasión
Cambian las direcciones IP de los nodos de control intermedios varias veces al día, dificultando los esfuerzos de bloqueo y rastreo por parte de los defensores.
Incrustan numerosos archivos maliciosos en los sistemas comprometidos, aumentando así la probabilidad de reinfección.
Recomendaciones de mitigación
- Bloquear o restringir la ejecución no autorizada de los archivos mshta.exe, wscript.exe, cscript.exe y powershell.exe para limitar la efectividad de los ataques de Gamaredon.
- Tener precaución al abrir archivos adjuntos o hacer clic en enlaces sospechosos.
- Mantener los sistemas y aplicaciones actualizados con los últimos parches de seguridad.
- Implementar soluciones de seguridad sólidas.
- Fomentar una cultura de conciencia y capacitación en ciberseguridad.