El grupo de hackers ‘Moses Staff’ usa la nueva RAT de StrifeWater en ataques de ransomware

Attaques de rançongiciels Noticias

Un grupo de piratas informáticos con motivaciones políticas vinculado a una serie de ataques de espionaje y sabotaje contra entidades israelíes en 2021 incorporó un troyano de acceso remoto (RAT) previamente indocumentado que se hace pasar por la aplicación Calculadora de Windows como parte de un esfuerzo consciente por permanecer oculto.

La empresa de ciberseguridad Cybereason, que ha estado rastreando las operaciones del actor iraní conocido como Moses Staff, denominó al malware «ConflictosAgua

«La RAT de StrifeWater parece usarse en la etapa inicial del ataque y esta RAT sigilosa tiene la capacidad de retirarse del sistema para cubrir las huellas del grupo iraní», Tom Fakterman, analista de seguridad de Cybereason, dicho en un informe «La RAT posee otras capacidades, como la ejecución de comandos y la captura de pantalla, así como la capacidad de descargar extensiones adicionales».

Moses Staff salió a la luz a fines del año pasado cuando Check Point Research desenmascaró una serie de ataques dirigidos a organizaciones israelíes desde septiembre de 2021 con el objetivo de interrumpir las operaciones comerciales del objetivo mediante el cifrado de sus redes, sin opción de recuperar el acceso o negociar un rescate.

Las intrusiones se destacaron por el hecho de que se basaron en la biblioteca de código abierto DiskCryptor para realizar el cifrado de volúmenes, además de infectar los sistemas con un gestor de arranque que evita que se inicien sin la clave de cifrado correcta.

Ataques de ransomware

Hasta la fecha, se han reportado víctimas más allá de Israel, incluidos Italia, India, Alemania, Chile, Turquía, los Emiratos Árabes Unidos y los EE. UU.

La nueva pieza del rompecabezas de ataque descubierto por Cybereason viene en forma de RAT que se implementa con el nombre «calc.exe» (el binario de la calculadora de Windows) y se usa durante las primeras etapas de la cadena de infección, solo para eliminarse antes. a la implementación del malware de cifrado de archivos.

La eliminación y el posterior reemplazo del ejecutable de la calculadora maliciosa con el binario legítimo, sospechan los investigadores, es un intento por parte del actor de la amenaza de encubrir las huellas y borrar la evidencia del troyano, sin mencionar que les permite evadir la detección hasta que la fase final del ataque cuando se ejecuta la carga útil del ransomware.

StrifeWater, por su parte, no es diferente de sus contrapartes y viene con numerosas funciones, entre las que destaca la capacidad de listar archivos del sistema, ejecutar comandos del sistema, tomar capturas de pantalla, crear persistencia y descargar actualizaciones y módulos auxiliares.

«El objetivo final de Moses Staff parece tener una motivación más política que financiera», concluyó Fakterman. «Moses Staff emplea ransomware posterior a la exfiltración no para obtener ganancias financieras, sino para interrumpir las operaciones, ofuscar la actividad de espionaje e infligir daños a los sistemas para promover los objetivos geopolíticos de Irán».

David
Rate author
Hackarizona