Los expertos de Kaspersky Lab reportaron una acción de ciberespionaje denominada “La Máscara” que utiliza un malware muy sofisticado, un rootkit, un bootkit, y ataca computadoras con Mac OS X, Linux, Android y iOS. Le damos más detalles.
Los objetivos principales de este ataque fueron instituciones gubernamentales, representantes diplomáticos y embajadas, además de compañías de energía, petróleo y gas, organizaciones de investigación y activistas. Las víctimas de este ataque dirigido se han encontrado en 31 países de todo el mundo, desde el Oriente Medio y Europa a África y las Américas.
Los ciberatacantes tenían como reto principal recopilar datos sensibles de los sistemas infectados, incluyendo claves de cifrado, configuraciones VPN, claves SSH y archivos RDP.
“Existen varias razones que nos hacen creer que esto podría ser una campaña patrocinada por un Estado. En primer lugar, se ha observado un alto grado de profesionalidad en los procedimientos operativos del grupo que está detrás de este ataque: desde la gestión de la infraestructura, el cierre de la operación, evitando las miradas curiosas a través de las reglas de acceso y la limpieza en lugar de la eliminación de los archivos de registro. Esta combinación sitúa a La Máscara por delante de la APT de Duqu en términos de sofisticación, por lo que es una de las amenazas más avanzadas en este momento”, explicó Costin Raiu, director del Equipo de Investigación y Análisis Global de Kaspersky Lab. “Este nivel de seguridad operacional no es normal en grupos de cibercriminales”.
Los investigadores de Kaspersky Lab detectaron a esta organización por primera vez el año pasado, cuando observaron intentos de aprovechar una vulnerabilidad en los productos de la compañía. El exploit aportaba al malware la capacidad para evitar la detección. Los autores parecen ser nativos hispanohablantes, un hecho que se había observado muy raramente en ataques APT.
La campaña estuvo activa durante al menos cinco años hasta enero de 2014. Durante el curso de las investigaciones de Kaspersky Lab, los servidores de comando y control (C&C ) fueron cerrados.
Se han contabilizado más de 380 víctimas únicas entre más de 1000 IPs. Las infecciones se han observado en: Argelia, Argentina, Bélgica, Bolivia, Brasil, China, Colombia, Costa Rica, Cuba , Egipto, Francia , Alemania, Gibraltar, Guatemala, Irán , Irak, Libia, Malasia , Marruecos, México, Noruega, Pakistán, Polonia, Sudáfrica, España, Suiza, Túnez, Turquía, Reino Unido, Estados Unidos y Venezuela.
Compartir nota:
