Puerta trasera SPICA vinculada al colectivo de hackers rusos

El Grupo de Análisis de Amenazas (TAG) de Google reveló que el grupo de piratería ruso COLDRIVER está involucrado en actividades de phishing de credenciales dirigidas a destacadas ONG, ex personal militar y de inteligencia, así como a gobiernos de la OTAN.

TAG ha estado monitoreando e informando activamente sobre los esfuerzos de espionaje de COLDRIVER alineados con los intereses del gobierno ruso. En un esfuerzo por mejorar el conocimiento de la comunidad sobre las actividades de COLDRIVER, Wesley Shields de TAG destacó sus capacidades ampliadas, que ahora incluyen la implementación de malware.

COLDRIVER lleva a cabo campañas contra Ucrania, naciones de la OTAN, instituciones académicas y ONG. El grupo a menudo adopta la apariencia de expertos o individuos asociados con el objetivo para ganarse la confianza de sus víctimas.

TAG ha observado que COLDRIVER envía documentos PDF aparentemente inofensivos desde cuentas de suplantación de identidad, presentándolos como artículos de opinión o artículos en busca de comentarios para su publicación. Al abrir los archivos PDF, se revela que el texto está cifrado.

Si el objetivo expresa dificultades para leer el documento, la cuenta de suplantación responde con un enlace que afirma ser una utilidad de "descifrado". Sin embargo, esta utilidad es, en realidad, una puerta trasera conocida como SPICA, que proporciona a los atacantes acceso a la máquina de la víctima.

¿Qué es exactamente la puerta trasera SPICA?

El malware de puerta trasera SPICA es una herramienta para el cliente escrita en Rust, que utiliza comunicación websocket para comandar y controlar los dispositivos afectados. Permite a los atacantes ejecutar varios comandos en dispositivos infectados, como ejecutar comandos de shell arbitrarios, robar cookies de navegadores como Chrome, Firefox, Opera y Edge, cargar y descargar archivos, acceder al sistema de archivos y extraer documentos.

Google utiliza los hallazgos de TAG para mejorar la seguridad de sus productos. Los sitios web, dominios y archivos identificados se integran en protocolos de navegación segura para evitar una mayor explotación. TAG también notifica a los usuarios específicos de Gmail y Workspace sobre posibles ataques y los alienta a utilizar una navegación segura mejorada para mayor protección.