Inicio / Para Expertos / La NSA se retira de las PC orientadas si ya están infectadas por otro malware APT

La NSA se retira de las PC orientadas si ya están infectadas por otro malware APT

Las herramientas de piratería filtradas el año pasado y que se cree que pertenecen a la Agencia de Seguridad Nacional de los Estados Unidos (NSA) contienen una utilidad para detectar la presencia de malware desarrollado por otros grupos de ciberespionaje.

Esta utilidad, que usa el nombre en clave de “Disputa territorial”, alerta a los operadores de NSA sobre la presencia de otros grupos de piratería ciber-espionaje en una computadora comprometida y permite a un operador de NSA retirarse de una máquina infectada y evitar una mayor exposición.

Disputa territorial ignorada por EternalBlue

A pesar de estar incluido en un archivo que los Shadow Brokers filtraron en línea en abril pasado, la naturaleza de la utilidad Territorial Dispute, permanecía desconocida hasta la semana pasada, cuando un grupo de investigadores húngaros describió la herramienta en un informe presentado en la conferencia de Kaspersky SAS.

La razón principal por la cual la naturaleza de la utilidad de disputa territorial tardó tanto en determinarse fue porque se incluyó en la misma filtración de Shadow Brokers que también incorporó EternalBlue, el exploit utilizado en el brote de ransomware WannaCry, pero también EternalRomance, EternalSynergy, FuzzBunch y otras herramientas de pirateo de primer nivel.

A pesar de no ser un arma cibernética ofensiva, Territorial Dispute dice mucho sobre el modus operandi de la NSA. En círculos infosec es bien sabido que los piratas informáticos de Estados Unidos no operan como otros grupos de ciberespionaje.

Debido a su posición central en la escena política mundial, EE. UU. Siempre se ha enfocado en el sigilo en un intento de no agriar las relaciones diplomáticas con países pirateados. Esto es exactamente lo contrario comparado con el ruido constante que sale de las actividades chinas y rusas.

Disputa territorial busca IOC conocidas

Esta utilidad funciona de manera similar a un antivirus. La utilidad se activa automáticamente cada vez que una víctima se infecta con DanderSpritz, un marco post-explotación filtrado el año pasado por Shadow Brokers en el mismo vertedero de datos. Disputa territorial se ejecuta automáticamente como parte de un proceso de “encuesta” de DanderSpritz, Francisco Donoso, un investigador de seguridad que analizó DanderSpritz el año pasado, le dijo a Bleeping Computer.

Territorial Dispute buscará en los archivos de la computadora infectada los nombres de los archivos y las claves de registro que se sabe que han sido utilizados por el malware implementado por otros grupos de pirateo del estado-nación.

Si hay una coincidencia, Territorial Dispute enviará una alerta a su operador. Estas alertas contienen varios tipos de recomendaciones, como “por favor, retroceda”, “busque ayuda de inmediato”, “busque ayuda lo antes posible” o “malware peligroso”.

Los investigadores húngaros que analizaron el malware creen que los operadores de la NSA usan la herramienta para detectar tanto el malware adversario como el amistoso, como las herramientas de hacking desplegadas por las operaciones aliadas.

La NSA conoce al menos otras 45 APT

La lista interna de Disputa territorial es de nombres de archivos y claves de registro también está organizada en 45 categorías diferentes, desde SIG1 hasta SIG45. Los investigadores creen que cada categoría es el nombre interno que usa la NSA para otros grupos de ciberespionaje.

El equipo de investigación intentó vincular los indicadores de compromiso (nombres de archivo y claves de registro) de la lista interna de Disputas Territoriales con las IOC públicamente conocidas de los ataques e informes de seguridad anteriores.

Descubrieron que Territorial Dispute puede detectar malware implementado por grupos de ciberespionaje que utilizan nombres en clave públicos como Turla, Fancy Bear, Duqu, Stuxnet, Flame, Dark Hotel y otros grupos más pequeños.

También detectaron IOC que no se conocían públicamente, lo que significa que la NSA probablemente descubrió operaciones de piratería de estado nación que no se habían analizado públicamente hasta el día de hoy. Ahora depende de la industria de la ciberseguridad tomar estos hash de archivos aún desconocidos y rastrear qué grupos están utilizando estas herramientas nunca antes vistas.

Para obtener una lista exacta de lo que Territorial Dispute puede detectar de cada grupo de ciberespionaje, consulte el documento de investigación titulado “Disputa territorial: la perspectiva de la NSA sobre el paisaje APT”.

Fuente: Bleepingcomputer

Vea También

Falso correo de Amazon propaga nueva variante de Emotet

Nueva campaña identificada en las últimas horas suplanta la identidad de Amazon e intenta engañar …

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.