LuckyMouse regresa con certificado legítimo para firmar malware

El equipo de Investigación y Análisis Global de Kaspersky Lab, GReAT, descubrió varias infecciones de un troyano desconocido que probablemente esté relacionado con LuckyMouse, el famoso actor de amenazas de habla china.

El rasgo más peculiar de este malware es su controlador cuidadosamente seleccionado, firmado con un certificado digital legítimo emitido por una empresa que desarrolla software relacionado con la seguridad de la información.

El grupo LuckyMouse es conocido por sus ciberataques dirigidos a grandes objetivos de todo el mundo. La actividad del grupo presenta un peligro para regiones enteras, incluidas las zonas de Asia sudoriental y central, y sus ataques parecen responder a una agenda política. A juzgar por los perfiles de las víctimas y los vectores de ataque previos del grupo, los analistas de Kaspersky Lab creen que el troyano que detectaron podría haberse utilizado para llevar a cabo ciberespionaje, respaldado por un gobierno.

El troyano descubierto por los analistas de Kaspersky Lab infectó un equipo objetivo a través de un controlador creado por los actores de la amenaza. De este modo, los atacantes pudieron ejecutar todas las tareas comunes, como la ejecución de comandos, la descarga y la carga de archivos, e interceptar el tráfico de la red.

El controlador resultó ser la parte más interesante de esta campaña. Para hacerlo creíble, aparentemente el grupo robó un certificado digital que pertenece a un desarrollador de software relacionado con la seguridad de la información, y que se usa para la firma de muestras de malware. Esto se hizo para intentar evitar que las soluciones de seguridad lo detectaran, ya que una firma legítima hace que el malware parezca un software legal.

Otra característica destacable del controlador es que, a pesar de la habilidad de Luckymouse para crear su propio software malicioso, el software utilizado en el ataque parecía ser una combinación de código público disponible en diversos repositorios y de malware personalizado. La utilización de un código de terceros listo para usar, en lugar de escribir el código original, ahorra tiempo a los desarrolladores y hace que la adjudicación sea más difícil.

"Cuando una nueva campaña de LuckyMouse hace su aparición, casi siempre coincide con el inicio de un evento político de alto perfil y, por lo general, el momento del ataque precede a las cumbres de los líderes mundiales. El actor no está demasiado preocupado por la atribución, ya que ahora están implementando muestras de código de terceros en sus programas, y no les lleva mucho tiempo agregar otra capa a sus “droppers” o desarrollar una modificación para el malware, y aun así, permanecer sin ser rastreado”, comenta Denis Legezo, analista de seguridad en Kaspersky Lab.

Kaspersky Lab ya informó anteriormente que LuckyMouse atacó un centro de datos para organizar una campaña de “waterholing” a nivel nacional.