Russian hackers Star Blizzard expand targeting, change up tactics to reach Ukraine and beyond

Un grupo de pi­ra­tas in­for­má­ti­cos rusos, vin­cu­la­do al ser­vi­cio de se­gu­ri­dad de su país y mo­ni­to­rea­do por Mi­cro­soft, ha mo­di­fi­ca­do sus mé­to­dos de ata­que para fa­ci­li­tar el es­pio­na­je y am­pliar sus ob­je­ti­vos hacia go­bier­nos, or­ga­ni­za­cio­nes sin fines de lucro y cen­tros de pen­sa­mien­to a nivel mun­dial, cen­tran­do su aten­ción es­pe­cial­men­te en Ucra­nia. La in­ves­ti­ga­ción se­ña­la que estos ac­to­res pa­sa­ron de rea­li­zar ope­ra­cio­nes ex­clu­si­vas de spear-phishing a eje­cu­tar cam­pa­ñas de phishing a gran es­ca­la y de forma ma­si­va, uti­li­zan­do pla­ta­for­mas au­to­ma­ti­za­das para in­cre­men­tar las po­si­bi­li­da­des de éxito me­dian­te un grupo ini­cial de blan­cos mucho mayor.

Las ope­ra­cio­nes que em­plean el malwa­re Red­Flick se han di­ri­gi­do con­tra Ucra­nia, así como con­tra en­ti­da­des fi­nan­cie­ras y ad­mi­nis­tra­cio­nes pú­bli­cas que han brin­da­do apoyo a ese país, afec­tan­do a más de un cen­te­nar de or­ga­ni­za­cio­nes lo­ca­li­za­das prin­ci­pal­men­te en Es­ta­dos Uni­dos y Reino Unido. Entre las ca­rac­te­rís­ti­cas que hacen efec­ti­vo este soft­wa­re ma­li­cio­so se en­cuen­tra la ne­ce­si­dad de una única in­ter­ac­ción por parte del usua­rio para ini­ciar el pro­ce­so de in­fec­ción, uti­li­zan­do fre­cuen­te­men­te gan­chos de phishing re­la­cio­na­dos con in­vi­ta­cio­nes a even­tos ex­clu­si­vos, avi­sos de pago, mul­tas y au­di­to­rías fis­ca­les.

Las cam­pa­ñas a gran es­ca­la de­tec­ta­das se han en­fo­ca­do en or­ga­ni­za­cio­nes no gu­ber­na­men­ta­les, cen­tros de pen­sa­mien­to y en­ti­da­des gu­ber­na­men­ta­les en todo el mundo. Ini­cial­men­te, los blan­cos se en­con­tra­ban den­tro de te­rri­to­rio ucra­niano, pero pos­te­rior­men­te las ac­cio­nes se ex­ten­die­ron a nivel glo­bal, lo que su­gie­re que las ca­pa­ci­da­des pu­die­ron haber sido pro­ba­das pri­me­ro en Ucra­nia. Para lo­grar la en­tre­ga del malwa­re y eva­dir la de­tec­ción, los ata­can­tes con­fi­gu­ran ta­reas pro­gra­ma­das que per­mi­ten des­ple­gar una puer­ta tra­se­ra per­so­na­li­za­da co­no­ci­da como Cos­mic­Pul­se.