Ataques de piratería patrocinados por el estado: ¿Qué son las amenazas persistentes avanzadas y a quién se dirigieron en 2022?

En 2022, hubo un marcado aumento en los ataques cibernéticos patrocinados por el gobierno. Muchos de estos ataques fueron llevados a cabo por lo que se conoce como amenazas persistentes avanzadas o APT. Estos grupos trabajan con los gobiernos y también pueden llevar a cabo actividades ilícitas con fines de lucro.

En 2022, entidades extranjeras atacaron a otras entidades extranjeras en ataques DDoS, operaciones de espionaje, ataques de ransomware e infracciones contra infraestructura crítica. Estos ataques iniciaron importantes interrupciones en la cadena de suministro, miles de millones de dólares en daños y recopilaron volúmenes de información como parte de las operaciones de espionaje.

Con la vista puesta en lo que el mundo puede enfrentar en 2023, aquí hay 5 devastadores ataques APT que tuvieron lugar en 2022:

APT 41/Double Dragon de China roba $ 20 millones en fondos de ayuda COVID

En 2022, uno de los ataques APT más impactantes lo llevó a cabo un grupo conocido como APT 41 o Double Dragon . Este grupo logró robar aproximadamente $ 20 millones en fondos de ayuda de COVID de varios países de Asia y África. El ataque se dirigió específicamente a bancos, agencias gubernamentales y otras organizaciones que estaban distribuyendo dinero de ayuda durante la pandemia. Se cree que el dinero robado fue lavado a través de billeteras de criptomonedas, lo que dificulta su rastreo y recuperación.

La declaración del Servicio Secreto indicó que APT41, que ha estado activo durante más de una década, se considera un grupo chino de amenazas cibernéticas patrocinado por el estado, altamente competente en la ejecución de misiones de espionaje y delitos financieros para beneficio personal. Expertos cibernéticos y funcionarios actuales y anteriores de múltiples agencias han identificado a APT41 como el "caballo de batalla" de las operaciones de ciberespionaje que benefician al gobierno chino. A medida que los fondos de ayuda de COVID surgieron como un objetivo de oportunidad en 2020, esta amenaza se volvió más pertinente que nunca.

Gatito Rampante/APT DEV-0270 de Irán compromete a la Junta de Protección de Sistemas de Mérito de EE. UU.

En noviembre, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) y la Oficina Federal de Investigaciones (FBI) publicaron un aviso de seguridad cibernética conjunto sobre las amenazas persistentes avanzadas (APT) de Irán. El actor de amenazas, llamado Rampant Kitten , explotó una conocida vulnerabilidad de Log4Shell para infiltrarse en un servidor VMware Horizon en febrero.

Esto resultó en el compromiso de una red federal perteneciente a la Junta de Protección de Sistemas de Mérito de EE. UU. En respuesta, CISA advirtió a todas las organizaciones que no aplicaron las soluciones de Log4Shell contra posibles indicadores de compromiso. The Washington Post identificó a la agencia afectada como la Junta de Protección de Sistemas de Mérito de EE. UU. Estos tipos de ataques resaltan la necesidad de vigilancia continua y esfuerzos proactivos por parte de empresas y gobiernos para salvaguardar la infraestructura crítica.

Criptomoneda de Lazarus Group/APT38 Target de Corea del Norte

En abril, un Aviso de Ciberseguridad (CSA) conjunto emitido por la Oficina Federal de Investigaciones (FBI), la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y el Departamento del Tesoro de EE. UU. (Tesoro) advirtió sobre una amenaza cibernética asociada con los robos de criptomonedas por parte de North Grupo de amenazas persistentes avanzadas (APT) patrocinado por el estado coreano conocido como Lazarus Group, APT38, BlueNoroff y Stardust Chollima.

Desde al menos 2020, este grupo ha estado apuntando a organizaciones en la tecnología blockchain y la industria de las criptomonedas, como intercambios de criptomonedas, protocolos DeFi, videojuegos de criptomonedas para jugar y ganar, fondos de capital de riesgo que invierten en criptomonedas o personas que poseen grandes cantidades de moneda digital. o NFT valiosos.

Los atacantes han estado utilizando la ingeniería social a través de varias plataformas de comunicación para persuadir a las víctimas de que descarguen aplicaciones de criptomonedas troyanas. Esto les permite obtener acceso a la computadora de la víctima, propagar malware y robar claves privadas o explotar otras brechas de seguridad para iniciar transacciones de blockchain fraudulentas.

APT iraní MuddyWater/APT 34 apunta al sector público/privado en Asia, África, Europa y América del Norte

En abril de 2022, los ataques cibernéticos patrocinados por el gobierno del grupo iraní Advanced Persistent Threat MuddyWater/APT 34 se dirigieron a una variedad de organizaciones gubernamentales y del sector privado en múltiples sectores en Asia, África, Europa y América del Norte como parte del Ministerio de Inteligencia y Seguridad de Irán. (MOÍS).

Posteriormente, en septiembre de 2020, el gobierno federal de EE. UU. sancionó al gobierno iraní por su apoyo a las actividades de ciberdelincuencia, que, según afirman, se llevan a cabo a través de varios grupos de amenazas persistentes avanzadas (APT).

Específicamente, la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de EE. UU. designó al Ministerio de Inteligencia y Seguridad (MOIS) de Irán como "participante en actividades cibernéticas contra Estados Unidos y sus aliados", desde al menos 2007.

Actores rusos de APT apuntan a contratistas de defensa

Desde al menos enero de 2020 hasta febrero de 2022, la Oficina Federal de Investigaciones de EE. UU. (FBI), la Agencia de Seguridad Nacional (NSA) y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) identificaron un patrón regular de ataques cibernéticos contra EE. UU. contratistas de defensa autorizados (CDC) que se originan en actores patrocinados por el estado ruso .

Estos ataques emplearon tácticas comunes pero efectivas, como el phishing selectivo, la recolección de credenciales, técnicas de fuerza bruta/rociado de contraseñas y la explotación de vulnerabilidades conocidas en cuentas y redes poco seguras. Los atacantes también se dirigieron a los entornos de Microsoft 365 (M365) con persistencia mantenida mediante el uso de credenciales legítimas y malware para la exfiltración de datos.

Los ataques anteriores causaron grandes interrupciones y miles de millones de dólares en daños en todo el mundo. Se llevaron a cabo tanto por razones geopolíticas como por ganancias monetarias. Está claro que las APT seguirán siendo una amenaza en los próximos años y deben abordarse de manera proactiva para que las entidades tanto del sector público como privado puedan minimizar los daños adicionales.​​​​​​​​​​​​​​​