Kaspersky identificó una nueva campaña de ciberataques denominada StrikeShark que pone en la mira a organizaciones de América Latina, Asia y Europa.
Los investigadores de la firma señalaron que los atacantes utilizan un malware hasta ahora no documentado, llamado SharkLoader, para infiltrarse de manera sigilosa en organismos gubernamentales, entidades diplomáticas, empresas de desarrollo de software y otras organizaciones.
Hasta el momento, la compañía continúa investigando el origen de la operación y no la atribuye a ningún grupo conocido de Amenazas Persistentes Avanzadas (APT).
Los atacantes han dirigido sus operaciones contra diversas entidades alrededor del mundo. Entre ellas destacan organismos diplomáticos en Indonesia, entidades gubernamentales en Taiwán, y empresas de desarrollo de software en Hong Kong, Líbano, Siria, Colombia, Macedonia del Norte, Nepal y Serbia, de acuerdo con los hallazgos del Equipo Global de Investigación y Análisis (GReAT) de la firma.
Vectores de ataque y evasión de seguridad
Para lograr el compromiso inicial de las víctimas, los atacantes explotaron vulnerabilidades en aplicaciones expuestas a internet —como navegadores web o servidores de correo—, afectando plataformas como Microsoft Exchange, Microsoft SharePoint y Openfire.
En otros casos, distribuyeron programas maliciosos (droppers) disfrazados de software legítimo, como instaladores de Google Update o Cisco AnyConnect. Algunas muestras analizadas empleaban documentos PDF para engañar a los usuarios e inducirlos a instalar el código sin notarlo.
La complejidad técnica de SharkLoader evidencia un programa malicioso altamente sofisticado que incorpora técnicas avanzadas para evadir los mecanismos de seguridad.
Una vez que se infiltra en el sistema, utiliza el método conocido como DLL side-loading, el cual aprovecha aplicaciones legítimas del sistema operativo para cargar módulos maliciosos cifrados sin levantar sospechas.
Posteriormente, estos módulos descifran y ejecutan componentes adicionales diseñados para eludir las herramientas de detección mediante la instalación de API hooks, una técnica que modifica el funcionamiento de funciones internas del sistema operativo.
Como etapa final, la amenaza despliega e inicia la ejecución de Cobalt Strike Beacon, una herramienta legítima de pruebas de penetración que con frecuencia es utilizada de forma maliciosa para establecer comunicación con los sistemas comprometidos, desplazarse lateralmente dentro de la red, realizar tareas de reconocimiento y extraer información confidencial.
María Isabel Manjarrez, analista de seguridad para América Latina en el GReAT, comentó: “La campaña StrikeShark refleja la evolución del panorama de amenazas, donde los ciberdelincuentes combinan herramientas de ataque ampliamente disponibles con malware desarrollado a la medida y técnicas sofisticadas para evadir los mecanismos de detección”.
La especialista prosiguió: “El uso de señuelos que aparentan ser software legítimo, junto con la explotación de vulnerabilidades conocidas, expone la importancia de que las organizaciones mantengan una gestión rigurosa de las actualizaciones de seguridad, implementen soluciones robustas de detección y respuesta en endpoints (EDR) y fortalezcan la capacitación de sus colaboradores para identificar y prevenir este tipo de amenazas”.
Recomendaciones de prevención
Para proteger a las organizaciones frente a este tipo de ciberataques, los expertos recomiendan implementar las siguientes medidas:
- Mantener actualizadas todas las aplicaciones y sistemas para corregir vulnerabilidades conocidas antes de que puedan ser explotadas por los atacantes.
- Implementar soluciones de seguridad confiables que permitan detectar y bloquear programas maliciosos (droppers) antes de que comprometan los dispositivos.
- Capacitar continuamente a los colaboradores para fortalecer la cultura de seguridad y reducir el riesgo de ataques basados en ingeniería social.
- Proteger los dispositivos corporativos con soluciones integrales capaces de detectar y detener amenazas desde las primeras etapas del ataque.
- Anticiparse a las amenazas más complejas con un servicio de Inteligencia de Amenazas que de una manera clara y accionable permita detectar ataques emergentes con mayor anticipación y le ayude a tomar mejores decisiones de seguridad mediante el acceso a una de las bases de conocimiento sobre seguridad más grandes del mundo.
