Investigadores de ciberseguridad han descubierto que el grupo de ransomware DragonForce está utilizando una nueva herramienta maliciosa capaz de esconder sus comunicaciones dentro de la infraestructura legítima de Microsoft Teams, una de las plataformas de colaboración empresarial más utilizadas del mundo
Lo que hace especialmente llamativo este malware es que aprovecha servidores legítimos del programa de los de Redmond para comunicarse con los atacantes. De esta manera, el tráfico generado parece completamente normal para las herramientas de seguridad, dificultando enormemente la detección de la actividad maliciosa.
DragonForce es un grupo de extorsión activo desde 2023 que, según los investigadores, ha demostrado una creciente sofisticación en sus operaciones.
Aunque no se conoce con certeza quiénes son sus integrantes ni desde qué país operan exactamente, los investigadores de seguridad creen que está formado por ciberdelincuentes de habla rusa o vinculados al ecosistema criminal que tradicionalmente ha operado desde Europa del Este y países de la antigua Unión Soviética.
Sin embargo, incluso dentro del ecosistema del ransomware, resulta poco frecuente que los atacantes desarrollen herramientas propias tan avanzadas como esta.
La nueva puerta trasera está programada en Go, un lenguaje de programación cada vez más popular entre los ciberdelincuentes por su versatilidad y facilidad para ejecutarse en distintos sistemas.
Según los expertos, esta es la primera vez que se observa malware aprovechando la infraestructura de retransmisión de Microsoft Teams de esta forma para ocultar las comunicaciones entre los equipos infectados y los servidores controlados por los atacantes.
El ‘paciente cero’
La investigación revela que Backdoor.Turn fue utilizada durante un ataque contra una empresa de servicios de EE.UU. Aunque no se ha podido determinar con exactitud cómo se produjo la intrusión inicial, los investigadores creen que los actores de amenazas podrían haber aprovechado una vulnerabilidad en un servidor de bases de datos o incluso haber comprado el acceso a otros delincuentes especializados en infiltrarse en organizaciones.
Los primeros indicios apuntan a que DragonForce consiguió acceder a la red corporativa en diciembre del año pasado. Una vez dentro, desplegó diversas herramientas para ampliar sus privilegios, moverse por los sistemas de la organización y evitar ser detectado por las soluciones de seguridad.
Aunque el objetivo final era desplegar ransomware para cifrar la información de la empresa y exigir un rescate económico, los atacantes también utilizaron Backdoor.Turn para garantizar que podrían seguir teniendo acceso incluso después de lanzar el ataque.
Esta herramienta permite ejecutar órdenes de forma remota, recopilar información sobre la red, desplazarse entre distintos equipos utilizando credenciales robadas y extraer contraseñas almacenadas en navegadores web.
Además, los cibermalos lograron desactivar diversas herramientas de protección aprovechando vulnerabilidades conocidas en controladores legítimos del sistema operativo, una técnica que les permitió obtener privilegios muy elevados dentro de la red comprometida.
Ocultándose a simple vista
Los investigadores advierten de que la principal amenaza de esta técnica radica en su capacidad para camuflarse. Como las comunicaciones parecen dirigirse únicamente a servidores legítimos de Microsoft Teams, muchas soluciones de seguridad pueden interpretarlas como tráfico normal de la empresa.
Esto dificulta que los responsables de seguridad detecten que se está produciendo una filtración de información o que los atacantes siguen controlando parte de la infraestructura comprometida.
“Los atacantes en esta campaña utilizan técnicas cibernéticas excepcionalmente sofisticadas. La configuración de Backdoor.Turn hace que los productos de seguridad solo vean el tráfico de comando y control dirigido a servidores Teams legítimos, lo que impide que los defensores se den cuenta de que actores maliciosos están sustrayendo datos”, señalan los investigadores.
Deja una respuesta