Nuevo grupo APT PlushDaemon compromete la cadena de suministro del servicio VPN coreano

Recientemente, se ha descubierto un nuevo grupo APT llamado PlushDaemon, alineado con actores de amenazas en China, que ha comprometido la cadena de suministro del software VPN desarrollado por una empresa surcoreana. Este descubrimiento pone de relieve la creciente vulnerabilidad en la seguridad de las aplicaciones y la necesidad de estar alerta ante posibles amenazas digitales. En este artículo, exploraremos en profundidad las operaciones de este grupo, analizando sus consecuencias y cómo podemos protegernos frente a estas amenazas.

¿Qué es PlushDaemon?

PlushDaemon es un grupo de actores de amenazas que ha estado activo desde al menos 2019, enfocado en operaciones de ciberespionaje. Este grupo utiliza un backdoor llamado SlowStepper, el cual cuenta con una amplia variedad de capacidades diseñadas para el monitoreo y la recopilación de datos. A través del secuestro de actualizaciones legítimas de aplicaciones y la manipulación de instaladores, PlushDaemon ha logrado infiltrarse en la red de varios usuarios, especialmente en Asia y el Pacífico.

Detalles de la operación de PlushDaemon

Compromiso de la cadena de suministro

La reciente investigación de ESET reveló que PlushDaemon implementó un ataque específico contra el software VPN IPany, desarrollado por una empresa de Corea del Sur. Este ataque consistió en reemplazar el instalador legítimo con un instalador malicioso que, al ser ejecutado, desplegaba tanto el software legítimo como el backdoor SlowStepper.

Los atacantes lograron infiltrarse en la cadena de suministro del software utilizando el instalador contaminado, lo que demuestra un nivel de sofisticación que debería preocupar a todos los usuarios de aplicaciones de seguridad. Este tipo de ataques están creciendo en frecuencia y efectividad, lo que resalta la importancia de mantener sólidos sistemas de protección.

Métodos de acceso

PlushDaemon utiliza varios vectores de ataque para infiltrarse en sistemas. Estos incluyen:

• Secuestro de actualizaciones legítimas: Los atacantes redirigen el tráfico de actualizaciones a sus servidores controlados, lo que les permite desplegar su malware sin que los usuarios lo noten.
• Explotación de vulnerabilidades: Han utilizado ataques dirigidos a servidores web legítimos para ganar acceso a sistemas críticos.

Las victimas, que han descargado manualmente el instalador desde la URL oficial del software, se convierten en blanco de esta ciberamenaza. Por esta razón, siempre recomendamos que te descargues el antivirus gratuito desde nuestra sección de descargas de seguridad recomendadas.

Características del backdoor SlowStepper

SlowStepper es una amenaza compleja que ofrece a los atacantes un conjunto rico de funcionalidades:

• Más de 30 módulos: Programados en C++, Python y Go, permite a los atacantes llevar a cabo tareas de espionaje y recopilación de datos de manera eficiente.
• Personalización: Este backdoor permite a los atacantes ejecutar módulos adicionales de Python que pueden recoger datos de diferentes aplicaciones, incluidas las de mensajería y videoconferencia.

Protocolo de comunicación C&C

El backdoor pulsa lentamente hacia los servidores de C&C (Comando y Control) utilizando un mecanismo de encriptación y resolución de DNS, lo que dificulta su detección. SlowStepper realiza consultas DNS para obtener registros TXT que contienen direcciones IP de servidores de control, lo que añade otra capa de complejidad a su estructura de comunicación.

Consecuencias de ser víctima de PlushDaemon

Ser víctima de PlushDaemon puede tener serias repercusiones. Al comprometerse un sistema, los atacantes pueden:

• Recopilar datos sensibles de los usuarios, incluyendo credenciales de acceso, información bancaria y archivos privados.
• Hacer uso de los recursos del sistema para propósitos maliciosos, como enviar spam desde la máquina infectada o realizar ataques a terceros.
• Instalar software adicional que puede amplificar el impacto del ataque original y crear una puerta trasera para futuros accesos.

Importancia de la ciberseguridad

La situación creada por PlushDaemon resalta la importancia de tener en lugar protocolos de seguridad sólidos en cualquier organización. Es crucial que las empresas implementen soluciones de ciberseguridad eficientes, actualicen sus sistemas regularmente y realicen auditorías de seguridad para minimizar la exposición a amenazas.

Por eso, siempre recomendamos que te descargues el antivirus gratuito desde nuestra sección de descargas de seguridad recomendadas.

Cómo prevenir ataques como los de PlushDaemon

Mejores prácticas de seguridad

1. Mantener el software actualizado: Asegúrate de que todas las aplicaciones y sistemas operativos estén actualizados con los últimos parches de seguridad.
2. Educar al personal: Proporciona formación en ciberseguridad para ayudar a los empleados a reconocer posibles amenazas y ataques de phishing.
3. Implementar soluciones de seguridad: Utiliza antivirus, firewalls y soluciones de detección de intrusiones para defenderte de ataques.
4. Gestión de acceso: Limita los privilegios de acceso de los usuarios a solamente aquellos que son necesarios, y asegúrate de que se sigan buenas prácticas de gestión de contraseñas.

Los beneficios de utilizar un antivirus

Utilizar un antivirus robusto puede no solo detectar software malicioso como SlowStepper, sino también prevenir que el malware se ejecute en el sistema. Además, muchas soluciones antivirus ofrecen análisis en tiempo real que pueden alertarte sobre comportamientos sospechosos.

Vigilancia constante y respuesta ante incidentes

Es vital establecer un protocolo de respuesta ante incidentes que permita actuar rápidamente si se detecta un ataque. La vigilancia constante de la red y sistemas es crucial, ya que muchos ataques pueden aún no ser visibles al usuario promedio.

Además, contar con un plan de contención y recuperación puede hacer la diferencia entre un incidente menor y un ataque devastador que comprometa la integridad de toda una organización.

Mantente informado

Mantente al día con las últimas amenazas cibernéticas y tendencias de seguridad. La educación continua sobre vulnerabilidades y ataques emergentes es esencial en el paisaje dinámico del cybersecurity.

En resumen

El grupo APT PlushDaemon representa una amenaza seria y sofisticada que demuestra lo vulnerable que puede ser nuestra infraestructura a los compromisos de la cadena de suministro. Sus operaciones no solo afectan a empresas individuales, sino también a la seguridad general de internet.

Es esencial que tanto las organizaciones como los usuarios individuales tomen medidas proactivas para protegerse. Esto incluye mantener los sistemas actualizados, utilizar antivirus de confianza, y educar a los usuarios sobre el malware y otras ciberamenazas.

Para mayor seguridad, siempre recomendamos que te descargues el antivirus gratuito desde nuestra sección de descargas de seguridad recomendadas. La ciberseguridad debe ser una prioridad en nuestra vida digital.

Fuente: https://www.welivesecurity.com/es/investigaciones/plushdaemon-ataque-suministro-servicio-vpn-coreano/