DTrack y Maui los principales atacantes de Andariel

Los cibercriminales de Andariel (Grupo ligado a Lazarus) utilizan el malware DTrack y el ransomware Maui para atacar empresas por todo el mundo. Como es típico en Lazarus, el grupo ataca para obtener beneficios financieros, en esta ocasión mediante demandas de rescate.

Andariel ha estado activo desde el año 2015, realizando ataques para robar datos y generar supuestos ingresos para el régimen norcoreano.

El grupo utiliza backdoors conocidas, como Aryan y Gh0st RAT, pero también utiliza puertas traseras de desarrollo propio, como Andarat, Andaratm, Rifdoor y Phandoor. Además, este grupo parece conocer el idioma coreano y su entorno de TI.

Este grupo tiene una conexión con el ataque cibernético llamado Operación Mina Negra que ocurrió en 2014 y 2015. Sin embargo, la Operación Mina Negra también está asociada con los ataques a la Agencia Militar de Corea del Sur en 2008 y los ataques contra bancos y emisoras de Corea del Sur en 2013. Andariel fue designado por el Instituto Coreano de Seguridad Financiera como un subgrupo de Lazarus.

Lazarus Group es uno de los APT más sofisticados de Corea del Norte que ha estado activo desde hace ya varios años. Este grupo es responsable de muchos ataques de alto perfil en el pasado y ha sido punto de atención en todo el mundo.

Andariel y sus objetivos

Los expertos han llegado a la conclusión de que, en lugar de centrarse en un sector concreto, el grupo Andariel es capaz de atacar cualquier empresa, por ejemplo industrias de defensa, fuerzas políticas, empresas de seguridad, entidades financieras, intercambios de criptomonedas y usuarios de juegos de azar en línea.

En junio, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA en inglés) informó que el ransomware Maui está dirigido principalmente a empresas y organizaciones gubernamentales del sector sanitario estadounidense.

Sin embargo, también se detectó al menos un ataque a una empresa inmobiliaria en Japón, además de distintas víctimas en India, Vietnam y Rusia.

Las herramientas de Andariel

La herramienta principal del grupo Andariel es su tradicional malware, Dtrack. Este recopila información sobre una víctima y la envía a un host remoto.

Entre otras cosas, Dtrack recopila el historial de búsqueda del navegador y lo guarda en un archivo por separado. La variante que utiliza Andariel en sus ataques no solo es capaz de enviar la información recopilada al servidor de los cibercriminales mediante HTTP, sino que también la almacena en un host remoto en la red de la víctima.

Cuando los atacantes encuentran datos dignos de atención, el ransomware Maui entra en escena.

Generalmente los ataques de hosts se detectan 10 horas después de la activación del malware DTrack.

Expertos de Stairwell han estudiado sus muestras y deducen que los operadores controlan el ransomware de forma manual, o sea, seleccionan qué datos van a cifrar.

Otra herramienta que los atacantes parecen estar utilizando es 3Proxy. Este servidor proxy legítimo, gratuito y multiplataforma es de interés para los atacantes debido, probablemente a su reducido tamaño (sólo unos cientos de kilobytes). Este tipo de herramienta puede utilizarse para mantener el acceso remoto a un ordenador infectado.

Propagación de su malware

Los cibercriminales explotan versiones sin parches de servicios públicos en línea. En uno de estos casos, el malware descargó un HFS (un servidor de archivos HTTP): los atacantes usaron un exploit desconocido que les permitió ejecutar un script de Powershell desde un servidor remoto. En otro, pudieron infectar un servidor WebLogic mediante un exploit para la vulnerabilidad CVE-2017-10271, lo que, en definitiva, les permitió ejecutar un script.

Para mantenerse a salvo, primero, asegúrate de que todos los dispositivos corporativos, incluyendo los servidores, estén equipados con soluciones de seguridad fiables.

_{Con información de Kaspersky}