El equipo de investigación de Trend Micro ha descubierto que los atacantes que están detrás de Pawn Storm están utilizando un nuevo exploit zero-day en Adobe Flash en su última campaña. Pawn Storm es una campaña de ciberespionaje de larga duración conocida por dirigirse a objetivos de perfil alto y por emplear la primera vulnerabilidad zero-day vista en Java en los dos últimos años.
En esta reciente campaña, Pawn Storm se dirigía a varios Ministerios de Asuntos Exteriores de todo el mundo. Los objetivos recibieron correos electrónicos de spear phishing que contenían enlaces que conducen al exploit. Los emails y direcciones URL se han creado a mano para simular que dirigen a información sobre temas de actualidad, empleando asuntos en el mensaje de correo electrónico que contienen los siguientes temas:
- «Un suicida con coche bomba se dirige al convoy de tropas de la OTAN en Kabul”
- «Las tropas sirias ganan terreno mientras Putin defiende con ataques aéreos»
- «Israel lanza ataques aéreos contra objetivos en Gaza»
- «Rusia advierte que responderá a Estados Unidos sobre la acumulación de armas nucleares en Turquía, Europa»
- «El ejército de Estados Unidos informa que 75 rebeldes entrenados por Estados Unidos regresan a Siria»
Vale la pena señalar que las direcciones URL que alojan el exploit zero-day de Flash son similares a las URL observados en los ataques dirigidos contra miembros de la Organización del Tratado del Atlántico Norte (OTAN) y de la Casa Blanca en abril de este año.
Los Ministerios de Asuntos Exteriores se han convertido en un particular foco de interés de Pawn Storm recientemente. Junto a los ataques de malware, también se han instalado en los diversos ministerios servidores Outlook Web Access (OWA) falsos. Estos se utilizan para perpetrar ataques de phishing de credenciales muy simples, pero extremadamente eficaces. Uno de los Ministerios de Asuntos Exteriores tenía sus configuraciones DNS para el correo entrante comprometidas. Esto significa que Pawn Storm ha estado interceptando el correo electrónico entrante a esta organización durante un largo período de tiempo en 2015.
Según los análisis realizados por Trend Micro, el fallo zero-day en Flash afecta al menos a las versiones de Adobe Flash Player 19.0.0.185 y 19.0.0.207.
