Esta campaña fue descubierta y documentada por primera vez a principios de este mes por Symantec. La investigación realizada por Trend Micro ha mejorado de forma significativa el conocimiento de este tipo de amenazas (APTs), no sólo sobre este ataque en concreto, sino también sobre la forma en que los ataques dirigidos se despliegan.
Las Amenazas Persistentes Avanzadas (APTs) hacen referencia a una categoría de amenazas que atacan de forma agresiva y escogen objetivos muy concretos para mantener una presencia constante dentro de las redes de las víctimas. Estos espías electrónicos tienen la capacidad de moverse lateralmente dentro de la organización y son capaces de extraer datos con gran facilidad.
A diferencia de los ataques indiscriminados y masivos de cibercrimen, spam, amenazas web y otros similares, los ataques de las APTs son mucho más difíciles de detectar debido a su naturaleza solapada. Utilizan componentes y técnicas especialmente diseñadas para infiltrarse dentro de sus objetivos y quedarse allí sin ser detectados. Además, mientras los ciberdelincuentes se centran más en el robo de tarjetas de crédito y otro tipo de información bancaria para obtener beneficios, las APTs están pensadas, y mucho mejor preparadas, para el ciberespionaje.
A continuación se incluyen algunos de los principales resultados encontrados por Trend Micro:
*Para entender los ataques dirigidos, se debe de pensar en ellos como en campañas. Los ataques, que pueden estar relacionados mediante una monitorización y análisis cuidadoso, son sólo una parte de toda la campaña. Este enfoque produce mucha más información útil acerca de estos ataques. La idea de las campañas y el seguimiento de las mismas es vital para desarrollar una comprensión de estas amenazas lo que nos permite proteger mejor a los usuarios y las redes.
* Cada campaña se centra en unos objetivos más diversos de lo que se pensaba con anterioridad. Luckycat no sólo atacó la investigación militar en la India, tal y como difundió Symantec, sino que también se dirigieron ataques contra organizaciones importantes en Japón, India, así como contra los activistas tibetanos. En estas campañas se emplea también diferentes infraestructura de redes: desde sites de alojamientos gratuitos de usar y tirar hasta servidores privados virtuales dedicados.
*Luckycat está relacionada también con otras campañas. Los individuos que están detrás de esta campaña utilizan u ofrecen infraestructura para otras operaciones de malware que han estado también relacionadas con otros ataques dirigidos cometidos con anterioridad, como el ya conocido Shadow Network, que aún sigue activo. Asimismo, han utilizado malware de segundo nivel en sus ataques. Desde Trend Micro hemos seguido al menos 90 ataques que forman parte de esta campaña.
*Una minuciosa monitorización nos ha permitido aprovechar algunos errores cometidos por los atacantes y nos dan una idea de sus identidades y capacidades. Hemos podido obtener una visión interna de algunas de las capacidades operacionales, incluyendo el uso de tecnología de anonimidad para evitar ser detectados. Además, se ha logrado realizar un seguimiento de algunos de los atacantes a través de sus direcciones QQ a un conocido foro de hackers chino, llamado Xfocus, así como a un instituto de seguridad de la información, también en China.
La evidencia garantizada por el equipo de investigación de Trend Micro arroja luz sobre la naturaleza de las APTs y descubre el alto grado de infraestructura compartida que hay detrás de algunos de los ataques más recientes, comenta Rik Ferguso, Director de Investigación de Seguridad y Comunicaciones de Trend Micro para EMEA. Estas amenazas son conocidas como persistentes por una buena razón, las ondas del malware son lanzadas por etapas con el fin de consolidar y ampliar su radio de acción dentro de una organización. No es frecuente tener una visión detallada dentro de una operación clandestina de este nivel y el informe de Trend Micro es una lectura que puede aportar gran valor.
Ferguson continúa: No se trata de si una organización puede ser objeto de un ataque, sino que es una cuestión de cuándo. La seguridad debe centrarse menos en detener ataques y más en asegurar la disponibilidad a tiempo de inteligencia procesable en el momento en que se produzca una brecha de seguridad. Una estrategia de seguridad razonable en la era de las APTs comienza por asumir que una brecha puede ocurrir.
Las personas interesadas en conocer el resto de los resultados encontrados tienen a su disposición el trabajo completo del equipo de investigación de Trend Micro sobre Luckycat para su descarga. Para conocer cómo Luckycat se compara respecto a otras amenazas conocidas, Trend Micro ha creado una infografía con referencias completas.
Suficientemente motivados, quienes están detrás de las amenazas son capaces de penetrar incluso en las redes con avanzados sistemas de seguridad. Por ello, además de las herramientas de prevención estándar, las empresas deberían centrarse en detectar y mitigar los ataques y poner en marcha estrategias centradas en los datos. Tecnologías como Trend Micro Deep Discovery ofrecen la visibilidad, comprensión y control necesario sobre las redes para defenderlas contra las amenazas dirigidas.
