Ataque al vecino más próximo: Los espías rusos utilizan una nueva técnica

Recientes informes de prensa han citado a una empresa de ciberseguridad, Volexity, que afirma que los espías rusos han utilizado una técnica de ataque sin precedentes. Lo que ahora se denomina ataque al vecino más cercano explota las redes Wi-Fi cercanas y las aprovecha para obtener acceso encubierto. En este artículo, veremos cómo el actor de la amenaza aprovecha la red, las diferentes fases del ataque al vecino más cercanoy los protocolos de mitigación de riesgos que pueden utilizarse para mejorar la protección. Comencemos.

Ataque al vecino más cercano: Descubrimiento inicial

El descubrimiento inicial del ataque del vecino más cercano se remonta a febrero de 2022, cuando Volexity encontró una firma de detección personalizada procedente del sitio de un cliente. La señal indicaba que un servidor de la red del cliente había sido comprometido. Durante la investigación, se descubrió un actor de amenazas persistentes avanzadas (APT) hábil y motivado.

Según los informes, el actor de la amenaza estaba aprovechando un nuevo vector de ataque al que Volexity no había estado expuesto antes de este incidente. Una vez concluida la investigación, se reveló que la entidad detrás del ataque era un actor de amenazas ruso rastreado como GruesomeLarch. El actor de la amenaza es conocido públicamente como:  

• APT28.
• Ventisca forestal.
• Sofacy. 
• Fancy Bear.

Además, también se determinó que el ataque al vecino más cercano se había dirigido a la organización para recopilar datos de personas con experiencia y participación en proyectos relacionados con Ucrania. El actor APT penetró en la red de la organización objetivo conectándose a la red Wi-Fi de la empresa. Los expertos aportaron información valiosa declararon a que:

"El actor de la amenaza lo consiguió encadenando su enfoque para comprometer a varias organizaciones muy próximas a su objetivo, la Organización A. Esto lo hizo un actor de la amenaza que se encontraba a miles de kilómetros y a un océano de distancia de la víctima. Volexity no conoce ninguna terminología que describa este tipo de ataque y lo ha bautizado como Ataque al vecino más cercano."

Detalles de la brecha Wi-Fi del GRU

A pesar de la evidente distancia, el actor de la amenaza fue capaz de autenticarse en la red de la organización objetivo adquiriendo credenciales válidas. Para obtener dichas credenciales, se atacó un servicio público de la red de la organización con ataques de pulverización de contraseñas. Cabe señalar que el servicio se utilizó para la validación de credenciales.

Un factor clave aquí es que el incidente podría haberse evitado si la organización hubiera utilizado la autenticación multifactor (MFA). Sin embargo, sólo requería un nombre de usuario y una contraseña de dominio válidos para la autenticación. Para hacer frente a la distancia geográfica, el hacker comprometió primero otras organizaciones en edificios cercanos al objetivo, de ahí el nombre - ataque al vecino más cercano.

Los expertos de Volexity, al tiempo que proporcionaban información, afirmaron que la estrategia del pirata informático era:  

"Para penetrar en otra organización, y luego moverse lateralmente dentro de esa organización para encontrar sistemas a los que pudieran acceder y que tuvieran doble conexión. Una vez conseguido esto, tras encontrar un sistema conectado a la red mediante una conexión Ethernet por cable, el actor de la amenaza accedería al sistema y utilizaría su adaptador Wi-Fi."

Tras obtener acceso al sistema objetivo, el ataque al vecino más cercano se conectó al SSID de la red Wi-Fi de la empresa. Esto no solo garantizaba la autenticación, sino que también permitía al hacker espía ruso acceder a la red.

Si un hacker compromete a una organización y luego realiza robo de credenciales para comprometer a otras organizaciones cercanas utilizando sus redes Wi-Fi es un nuevo tipo de ataque. Esta táctica tuvo éxito debido a la ausencia de MFA, lo que significa que las credenciales válidas y la proximidad eran los únicos requisitos que el hacker tenía que cumplir para desarrollar una conexión que más tarde sería explotada.

Actividades del autor de la amenaza después de la brecha 

Tras recibir una alerta relativa al ataque al vecino más cercanolos expertos en seguridad empezaron a buscar archivos escritos y ejecutados desde la raíz del directorio "directorio C:\ProgramData". Como resultado, las actividades de los hackers que se descubrieron incluyen:

• Un archivo llamado "C:\ProgramData\servtask.bat" siendo escrito y ejecutado.
• Un archivo llamado "servtask.bat" que invoca la utilidad de registro de línea de comandos de Microsoft y PowerShell para ejecutar varios comandos que incluyen:
  • reg save hklm\sam C:\ProgramData\sam.save
  • reg save hklm\security C:\ProgramData\security.save
  • reg save hklm\system C:\ProgramData\system.save
  • Powershell -c "Get-ChildItem C:\ProgramData\sam.save, C:\ProgramData\security.save, C:\ProgramData\system.save ^| Compress-Archive -DestinationPath C:\ProgramData\out.zip"

Dado que se habían exportado archivos comprimidos del registro sensibles y se habían comprimido en un archivo ZIP, el equipo de seguridad comenzó a examinar el historial de eventos EDR, la memoria del sistema y los atributos clave del disco. Esto reveló lo siguiente:  

• Se había producido un inicio de sesión desde una cuenta de usuario sin privilegios en el servidor a través de RDP.
• Un archivo llamado "DefragmentSrv.zip" estaba presente en el sistema en el directorio de ese usuario y también fue desarchivado a través de la versión GUI de WinRAR en el sistema.
• Dos archivos llamados "DefragmentSrv.exe" y "DefragmentSrv.bat" también habían sido escritos y ejecutados, lo que finalmente condujo al archivo "servtask.bat fuera escrito y ejecutado.
• Un archivo llamado "wayzgoose52.dll" también se ha escrito en un directorio falso que estaba ubicado en “C:\ProgramData\Adobe\v3.80.15456.”

Los expertos ofrecen más información sobre las actividades de ataque a los vecinos más próximos:

"El atacante había ejecutado una utilidad nativa de Microsoft llamada Cipher.exe, que cubría sus huellas borrando los archivos de forma segura. Aunque no es la primera vez que Volexity se encuentra con un atacante que cubre sus huellas con métodos antiforenses, sí es la primera vez que Volexity había visto hacerlo con la utilidad Cipher.exe."

Medida de mitigación contra los piratas informáticos militares rusos

Mientras la investigación estaba en curso, Volexity trabajó con la organización comprometida y tomó varias iniciativas para la mitigación y prevención de ataques. Algunas de estas iniciativas incluyen la implementación de contramedidas y la mejora de áreas en las que el registro y la visibilidad de la red no estaban presentes anteriormente. 

Gracias a estos protocolos, los expertos en seguridad pudieron conocer más a fondo el concepto de ataque al vecino más próximo. Aunque sus credenciales se habían restablecido, el ataque al vecino más cercano volvió a obtener acceso a la red Wi-Fi de la empresa.

Sin embargo, los protocolos de registro y visibilidad de la red que se habían desplegado durante la investigación garantizaron que los expertos pudieran lanzar una captura completa de paquetes de todas las actividades relacionadas con los sistemas conectados por Wi-Fi. Al comentar lo que contenía el paquete capturado, los expertos declararon lo siguiente: 

"El análisis de esta captura de paquetes reveló que el sistema del atacante había enviado consultas al servicio de nombres NetBIOS (NBNS) que revelaban el nombre de su ordenador y el dominio de directorio activo al que estaba unido. Este dominio de directorio activo reveló exactamente desde dónde se estaba conectando el atacante, que resultó ser una organización ("Organización B") situada justo enfrente."

Otros análisis revelaron que la mayoría de los datos del incidente se habían copiado en el sistema del atacante. Sin embargo, en algunos casos, el ataque al vecino más cercano había colocado los datos en directorios de un servidor web público y los archivos se habían filtrado mediante descargas externas.

Cabe señalar que se trata de una técnica común utilizada por los atacantes en diversos tipos de infracciones. Vigilar los protocolos de esta actividad puede resultar difícil. Sin embargo, existen oportunidades si se pueden supervisar los archivos inesperados en los servidores web o las transferencias de archivos de gran tamaño. Garantizar el correcto funcionamiento de los weblogs también puede ayudar a identificar este tipo de actividades. 

Conclusión 

El ataque al vecino más cercano representa una escalofriante evolución en el ciberespionaje, ya que combina las brechas basadas en la proximidad con sofisticados robos de credenciales y tácticas antiforenses. Explotando debilidades como la ausencia de MFA y aprovechando las redes cercanas, hackers como APT28 demuestran cómo las amenazas avanzadas pueden atacar datos sensibles con precisión.

Las organizaciones deben adoptar contramedidas sólidascomo la autenticación multifactor, una mayor visibilidad de la red y un análisis exhaustivo de los registros, para mitigar los riesgos. La vigilancia frente a técnicas novedosas como estas es crucial, ya que las ciberamenazas siguen evolucionando, superando los límites de las defensas de seguridad tradicionales.

Las fuentes de este artículo incluyen artículos en Wired y Volexity.