Informe Trend Micro de la campaña de ciberespionaje Luckycat

Trend Micro ha publicado un documento titulado “Luckycat Redux” centrado en el análisis de las actividades de la campaña Luckycat, descubierta y documentada por primera vez a principios de marzo por Symantec. Una campaña de Amenazas Persistentes Avanzadas (APTs) que ha efectuado ataques contra diferentes organizaciones del sector aeroespacial, energético, ingenierías, industria naval e investigación militar, entre otros.

La investigación realizada por Trend Micro intenta mejorar el conocimiento de este tipo de amenazas (APTs), no sólo sobre este ataque en concreto, sino también sobre la forma en que los ataques dirigidos se despliegan. Las Amenazas Persistentes Avanzadas (APTs) hacen referencia a una categoría de amenazas que atacan de forma agresiva y escogen objetivos muy concretos para mantener una presencia constante dentro de las redes de las víctimas. Estos espías electrónicos tienen la capacidad de moverse lateralmente dentro de la organización y son capaces de extraer datos con gran facilidad.

A diferencia de los ataques indiscriminados y masivos de cibercrimen, spam, amenazas web y otros similares, los ataques de las APTs son mucho más difíciles de detectar debido a su naturaleza solapada. Utilizan componentes y técnicas especialmente diseñadas para infiltrarse dentro de sus objetivos y quedarse allí sin ser detectados. Además, mientras los ciberdelincuentes se centran más en el robo de tarjetas de crédito y otro tipo de información bancaria para obtener beneficios, las APTs están pensadas, y mucho mejor preparadas, para el ciberespionaje.

Entre las principales conclusiones del Luckycat Redux de Trend Micro destacan:

– Para entender los ataques dirigidos, se debe de pensar en ellos como en campañas. Los ataques, que pueden estar relacionados mediante una monitorización y análisis cuidadoso, son sólo una parte de toda la campaña. Este enfoque produce mucha más información útil acerca de estos ataques. La idea de las campañas y el seguimiento de las mismas es vital para desarrollar una comprensión de estas amenazas lo que nos permite proteger mejor a los usuarios y las redes.

– Cada campaña se centra en unos objetivos más diversos de lo que se pensaba con anterioridad. Luckycat no sólo atacó la investigación militar en la India, tal y como difundió Symantec, sino que también se dirigieron ataques contra organizaciones importantes en Japón, India, así como contra los activistas tibetanos. En estas campañas se emplea también diferentes infraestructura de redes: desde sites de alojamientos gratuitos de usar y tirar hasta servidores privados virtuales dedicados.

– Luckycat está relacionada también con otras campañas. Los individuos que están detrás de esta campaña utilizan u ofrecen infraestructura para otras operaciones de malware que han estado también relacionadas con otros ataques dirigidos cometidos con anterioridad, como el ya conocido Shadow Network, que aún sigue activo. Asimismo, han utilizado malware de segundo nivel en sus ataques. Desde Trend Micro hemos seguido al menos 90 ataques que forman parte de esta campaña.

– Una minuciosa monitorización nos ha permitido aprovechar algunos errores cometidos por los atacantes y nos dan una idea de sus identidades y capacidades. Hemos podido obtener una visión interna de algunas de las capacidades operacionales, incluyendo el uso de tecnología de anonimidad para evitar ser detectados. Además, se ha logrado realizar un seguimiento de algunos de los atacantes a través de sus direcciones QQ a un conocido foro de hackers chino, llamado Xfocus, así como a un instituto de seguridad de la información, también en China.

Puedes descargar el documento de investigación completo en formato .pdf Luckycat Redux de Trend Micro en el enlace.