TinyTurla Backdoor, un malware APT de Turla patrocinado por el estado, llega a Alemania y EE. UU.
El grupo Turla Advanced Persistent Threat (APT) sigue siendo uno de los piratas informáticos rusos más notorios patrocinados por el estado. Han estado activos en la escena de la piratería durante casi una década y están evolucionando constantemente sus enfoques y arsenal. Una de las últimas incorporaciones a las herramientas de piratería que utilizan es una reelaboración de la puerta trasera de Turla. Sin embargo, a la nueva amenaza se le han cortado algunas de sus características, de ahí el nombre de TinyTurla Backdoor. A pesar de la funcionalidad ligeramente limitada, sigue siendo una amenaza muy peligrosa que podría proporcionar a los piratas informáticos acceso a largo plazo al sistema infiltrado.
Parece que la campaña actual de TinyTurla Backdoor se centra en adquirir persistencia en la máquina pirateada y luego usar el implante para entregar una carga útil secundaria. El estilo de codificación simplista y la funcionalidad limitada de TinyTurla Backdoor le han permitido permanecer fuera del radar por un tiempo, evadiendo algunas medidas de seguridad. Sin embargo, puede estar seguro de que hoy en día, el software antivirus lo detectará con facilidad.
Actualmente, se han identificado instancias activas de TinyTurla Backdoor en Alemania y Estados Unidos. Sin embargo, es muy probable que los hackers de Turla también hayan ido tras otras regiones. Las similitudes entre el código de esta puerta trasera y otros implantes de Turla no son la única razón para creer que el grupo está detrás de este proyecto, sino que también utilizan la misma infraestructura de red.
¿Qué hace TinyTurla Backdoor?
Las características de TinyTurla Backdoor, aunque limitadas, pueden causar muchos problemas. Algunos de los comandos que puede ejecutar este implante son:
- Autentique al usuario que intenta acceder al implante, probablemente para evitar que los analistas intenten controlar y analizar el implante.
- Ejecute comandos / archivos remotos y luego registre la salida en el servidor de comando y control (C&C).
- Descargue o cargue archivos.
- Cambie la contraseña de autenticación, así como el servidor C&C.
Hasta ahora, el vector de infección que utilizan los piratas informáticos de Turla para entregar esta puerta trasera no está claro. Sin embargo, las copias activas del implante usaban una DLL relacionada con el Servicio de hora de Windows como disfraz. No es raro que los archivos maliciosos intenten imitar los paquetes de software legítimos o los archivos que utilizan.
La actividad de Turla APT ha sido el foco de los investigadores de malware desde 2014. Sin embargo, los investigadores de ciberseguridad creen que la actividad del grupo patrocinado por el estado se remonta a la década de 2000.
