Los expertos en seguridad de BlackBerry identificaron al grupo RomCom como posible responsable de ataques de phishing dirigidos a la próxima Cumbre de la OTAN en Vilnius. El grupo también es conocido como Tropical Scorpius, UNC2596 o Void Rabisu.
Actividades del grupo RomCom
Se detectó que el grupo ha realizado actividades contra una entidad que brinda apoyo a Ucrania en el extranjero. BlackBerry identificó dos documentos maliciosos enviados desde una dirección IP húngara el 4 de julio de 2023.
Los documentos son utilizados como señuelo para engañar a las víctimas. El grupo RomCom ha sido identificado previamente como responsable de ataques contra políticos ucranianos con relaciones occidentales y una organización médica estadounidense que brinda asistencia a refugiados.
Metodología de los ataques
Los ataques tienen motivación geopolítica y se basan en correos electrónicos de spear-phishing para redirigir a víctimas a sitios web falsificados. Los objetivos incluyen el ámbito militar, cadenas de suministro de alimentos y empresas de tecnología de la información.
Documentos maliciosos
BlackBerry identificó dos documentos de señuelo utilizados por los atacantes que se hacen pasar por el Congreso Mundial Ucraniano. Los documentos incluyen una carta falsa que declara apoyo a la inclusión de Ucrania en la OTAN.
Vulnerabilidades y payloads
Al abrir los archivos adjuntos, se desencadena una serie de ejecuciones sofisticadas que implican descarga de payloads desde un servidor remoto. Los payloads aprovechan la vulnerabilidad Follina (CVE-2022-30190) en la Herramienta de Diagnóstico de Soporte de Microsoft (MSDT).
Resultado final
El resultado final es la instalación del RAT RomCom, un programa ejecutable en lenguaje C++ para recopilar información y tomar control remoto. BlackBerry tiene un nivel de confianza medio a alto para concluir que esta operación está vinculada al grupo RomCom, posiblemente bajo una nueva identidad o con participación de algunos miembros.