Nuevo spyware dirigido a instituciones financieras y centros de investigación
El equipo de investigación y análisis de Kaspersky, Global Research and Analysis Team, ha descubierto una herramienta de espionaje previamente desconocida, detectada en instituciones financieras y centros de investigación de la India.
Creado por el grupo Lazarus, este spyware -denominado Dtrack- se ha estado utilizando para cargar y descargar archivos en los sistemas de las víctimas, registrar pulsaciones de teclas y realizar otras acciones típicas de una herramienta maliciosa de administración en remoto (RAT).
En 2018, los investigadores de Kaspersky descubrieron ATMDtrack – un malware creado para infiltrarse en los cajeros automáticos de la India y robar datos de tarjetas de clientes. Tras una investigación más profunda utilizando Kaspersky Attribution Engine entre otras herramientas, los investigadores han encontrado más de 180 nuevas muestras de malware con similitudes en la secuencia de código con ATMDtrack, pero que no estaban dirigidos a los cajeros automáticos. En su lugar, su lista de funciones las define como herramientas de espionaje, ahora conocidas como Dtrack. Además, las dos cepas no sólo comparten similitudes entre sí, sino también con la campaña DarkSeoul de 2013, atribuida a Lazarus, un actor de amenazas avanzadas persistentes responsable de múltiples operaciones de sabotaje y ciberespionaje.
Dtrack puede utilizarse como una herramienta de administración en remoto (RAT), lo que supone otorgar a los actores de amenazas control total sobre los dispositivos infectados. De esta forma, los delincuentes pueden realizar diferentes operaciones, como cargar y descargar archivos y ejecutar procesos clave.
Las entidades a las que se dirigen los actores de amenazas que utilizan Dtrack RAT a menudo tienen políticas de seguridad de red débiles y contraseñas estándar, y fallan en el seguimiento del tráfico en la organización. Si se implementa correctamente, el spyware puede registrar todos los archivos y procesos en ejecución disponibles, el registro de claves, el historial del navegador y las direcciones IP del host, incluida la información sobre las redes disponibles y las conexiones activas.
El malware recién descubierto está activo y según la telemetría de Kaspersky, aún se utiliza.
"Lazarus es un grupo bastante inusual patrocinado por un estado. Por un lado, como muchos otros grupos similares, se centra en la realización de operaciones de ciberespionaje o de sabotaje. Sin embargo, también se ha descubierto su influencia en los ataques claramente dirigidos a robar dinero. Esto último resulta bastante peculiar para un actor de amenaza de tan alto perfil porque, en general, estos no suelen tener motivaciones financieras en sus operaciones. La gran cantidad de muestras de Dtrack que encontramos demuestra cómo Lazarus es uno de los grupos APT más activos, que desarrolla y evoluciona constantemente las amenazas para tratar de perjudicar a las grandes industrias. Su exitosa ejecución de Dtrack RAT demuestra que incluso cuando una amenaza parece haber desaparecido, esta puede ser resucitada con una apariencia diferente para atacar nuevos objetivos. Incluso los centros de investigación u organizaciones financieras que operan únicamente en el sector comercial sin socios gubernamentales, deben considerar la posibilidad de ser atacados por un sofisticado actor de amenazas en su modelo de amenazas y prepararse para ello", comenta Konstantin Zykov, investigador de seguridad del Equipo de Investigación y Análisis Global de Kaspersky.
