Malware FoggyWeb utilizado por los actores de Nobelium APT
Una de las campañas de ciberdelincuencia más importantes de 2021 fue el ataque a la cadena de suministro contra el proveedor de software SolarWinds. El grupo que lo respalda, el Nobelium APT, sigue activo. Están desarrollando diferentes tipos de malware y tratando de explotar una amplia gama de aplicaciones web orientadas a Internet. Uno de sus últimos objetivos parece ser los Servicios de federación de Active Directory (AD FS); en estos ataques, los delincuentes están utilizando una nueva pieza de malware personalizada denominada FoggyWeb.
Además de funcionar como una herramienta posterior a la explotación, FoggyWeb Malware también puede ser útil cuando los piratas informáticos desean recopilar credenciales de sistemas infectados. Las credenciales robadas se utilizan a menudo para explotar e infectar más servidores de AD FS. Supuestamente, FoggyWeb Malware ha estado activo desde abril de 2021. Sin embargo, su actividad ha aumentado rápidamente en los últimos meses.
El malware FoggyWeb se centra en la extracción de credenciales
La amenaza parece usarse en ataques altamente dirigidos, y es probable que los delincuentes tengan planes más grandes para el futuro de su operación. Esta amenaza funciona como un troyano de puerta trasera, que recopila y filtra silenciosamente datos de los servidores comprometidos. Si bien su enfoque principal son las credenciales de inicio de sesión, el implante también podría robar archivos específicos u otra información. Además, admite una amplia gama de comandos remotos, que los atacantes podrían ejecutar a través de su servidor de comando y control. Hasta ahora, FoggyWeb Malware parece ser una puerta trasera con el único propósito de infectar los servidores de AD FS. Por supuesto, es posible que los piratas informáticos de Nobelium lo modifiquen para apuntar a otros entornos y servicios en el futuro.
Es probable que los piratas informáticos de SolarWinds se basen en campañas de spearphishing por correo electrónico ingeniosamente diseñadas para entregar la carga útil. Este fue el caso en mayo de 2021 cuando se hicieron pasar por la Agencia de los Estados Unidos para el Desarrollo Internacional. Por supuesto, las tácticas de propagación de malware que utilizan los actores de APT de alto perfil evolucionan constantemente. No sería una sorpresa que optaran por explorar también otras técnicas.
