Continúan las ofensivas cibernéticas de Rusia contra Ucrania
Desgraciadamente, y tal y como hemos visto en otras guerras, cuanto más dura el conflicto bélico en Ucrania, menos llamativas y más rutinarias son las noticias al respecto. Esto ocurre también en la parte cibernética del enfrentamiento, pero ni mucho menos se ha frenado.
El grupo de investigación Unit 42 de Palo Alto Networks ha publicado un nuevo descubrimiento sobre una campaña del Servicio de Inteligencia Exterior de Rusia (SVR) dirigida a misiones diplomáticas en Ucrania. Unit 42 ha bautizado a este grupo como Cloaked Ursa (alias APT29).
Recientemente, los investigadores de la Unit 42 han observado casos en los que este grupo utiliza señuelos centrados en los propios diplomáticos más que en los países a los que representan. Así, se revela que Cloaked Ursa apunta a misiones diplomáticas dentro de Ucrania aprovechando algo que todos los diplomáticos recién colocados necesitan: un vehículo.
A su vez, este reciente estudio revela que Cloaked Ursa tiene como objetivo al menos 22 de las más de 80 misiones extranjeras situadas en Kiev. Aunque no disponemos de detalles sobre su tasa de éxito en la infección, se trata de una cifra realmente asombrosa para una operación clandestina llevada a cabo por una amenaza persistente avanzada (APT) que Estados Unidos y el Reino Unido atribuyen públicamente al Servicio de Inteligencia Exterior de Rusia (SVR).
Los hackers del Servicio de Inteligencia Exterior de Rusia, denominados Cloaked Ursa (alias APT29, UAC-0029, Midnight Blizzard/Nobelium, Cozy Bear) son bien conocidos por atacar misiones diplomáticas en todo el mundo. Para sus intentos de acceso en los últimos dos años han utilizado predominantemente señuelos de phishing con temática de operaciones diplomáticas como los siguientes:
- Notas de voz (comunicaciones diplomáticas informales de gobierno a gobierno)
- Actualizaciones del estado operativo de las embajadas
- Horarios de diplomáticos
- Invitaciones a actos de la embajada
Este tipo de señuelos suelen enviarse a profesionales que manejan este tipo de correspondencia de embajadas como parte de su labor diaria. El objetivo, atraerlos y que estos abran los archivos en nombre de la organización para la que trabajan.
Ataque a diplomáticos a través de un BMW en venta
Una de las más recientes de estas novedosas campañas que observaron los investigadores de la Unit 42 parecía utilizar como punto de partida la venta legítima de un BMW para atacar a diplomáticos en Kiev en Ucrania.
A mediados de abril de 2023, un diplomático del Ministerio de Asuntos Exteriores polaco envió por correo electrónico su folleto legítimo a varias embajadas anunciando la venta de un BMW serie 5 situado en Kiev. La venta de un coche fiable por parte de un diplomático de confianza podría ser una gran ayuda para un recién llegado, lo que este grupo de atacantes ruso supo aprovechar como una oportunidad.
"Actualmente, y según nuestros investigadores, Cloaked Ursa utilizó direcciones de correo electrónico de embajadas disponibles públicamente para aproximadamente el 80% de las víctimas objetivo. El 20% restante eran direcciones de correo electrónico inéditas que no se encontraban en la web", afirma Jesús Díaz Barrero, director de Ingeniería de Sistemas para el Sur de Europa en Palo Alto Networks. "Estamos en un momento convulso de cambios y transformaciones a nivel económico y social. Por ello, desde Palo Alto Networks seguiremos de cerca la rápida evolución de la actividad cibernética relacionada con el conflicto entre Rusia y Ucrania y continuaremos con nuestros estudios sobre amenazas, ofreciendo protección para nuestros clientes, así como colaborando activamente con nuestros socios de la industria y los gobiernos", añade.
Según Palo Alto Networks, las misiones diplomáticas siempre serán un objetivo de espionaje de alto valor. Dieciséis meses después de la invasión rusa de Ucrania, la inteligencia en torno a Ucrania y los esfuerzos diplomáticos aliados son, casi con total seguridad, una alta prioridad para el gobierno ruso. Como demuestran las campañas anteriores, los diplomáticos deberán ser conscientes de que las APT modifican continuamente sus enfoques, incluso a través del spear phishing, para mejorar su eficacia.
