Una nueva campaña de ciberataques denominada StrikeShark está afectando a organizaciones de América Latina, Asia y Europa mediante el uso de un malware hasta ahora no documentado, identificado como SharkLoader.
Investigadores del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky detectaron ataques dirigidos contra organismos gubernamentales, entidades diplomáticas, compañías de desarrollo de software y otras organizaciones.
Entre los países donde se han identificado víctimas o intentos de compromiso figuran Colombia, Indonesia, Taiwán, Hong Kong, Líbano, Siria, Macedonia del Norte, Nepal y Serbia.
Hasta el momento, Kaspersky continúa investigando el origen de la operación y no la atribuye a ningún grupo conocido de Amenazas Persistentes Avanzadas (APT).
Cómo logran infiltrarse los atacantes
Los responsables de StrikeShark emplean distintas tácticas para obtener acceso inicial a los sistemas.
Entre ellas se encuentra la explotación de vulnerabilidades en aplicaciones expuestas a Internet, incluyendo servidores Microsoft Exchange, Microsoft SharePoint y Openfire.
En otros casos, los atacantes distribuyen programas maliciosos disfrazados de software legítimo, como instaladores de Google Update o Cisco AnyConnect.
Algunas de las muestras analizadas también utilizan documentos PDF como señuelo para inducir a las víctimas a instalar el malware sin darse cuenta.
SharkLoader busca evadir los sistemas de seguridad
Una vez dentro del sistema, SharkLoader utiliza técnicas diseñadas para pasar desapercibido.
Entre ellas se encuentra el llamado DLL side-loading, que aprovecha aplicaciones legítimas de Windows para cargar módulos maliciosos cifrados. Posteriormente, estos componentes son descifrados y ejecutados para evadir mecanismos de detección.
El malware también puede instalar API hooks, una técnica que modifica el funcionamiento de determinadas funciones del sistema operativo para dificultar su identificación.
En la etapa final del ataque, SharkLoader despliega Cobalt Strike Beacon, una herramienta legítima utilizada en pruebas de penetración que también puede ser empleada por ciberdelincuentes para mantener comunicación con equipos comprometidos, desplazarse dentro de una red y extraer información confidencial.
Empresas deben reforzar sus controles
“La campaña StrikeShark refleja la evolución del panorama de amenazas, donde los ciberdelincuentes combinan herramientas de ataque ampliamente disponibles con malware desarrollado a la medida y técnicas sofisticadas para evadir los mecanismos de detección”, explicó María Isabel Manjarrez, analista de Seguridad para América Latina del equipo GReAT de Kaspersky.
La especialista destacó la importancia de que las organizaciones mantengan actualizados sus sistemas, implementen mecanismos de detección y respuesta y fortalezcan la capacitación de sus colaboradores.
Entre las principales recomendaciones de seguridad figuran mantener actualizadas las aplicaciones y sistemas, utilizar soluciones capaces de detectar programas maliciosos desde las primeras etapas del ataque y reforzar la formación de los empleados para identificar posibles intentos de ingeniería social.
Kaspersky también recomienda incorporar herramientas de detección y respuesta en endpoints e inteligencia de amenazas que permitan identificar nuevas campañas y vulnerabilidades con mayor anticipación.
