La campaña de
espionaje Darkhotel lleva cuatro años robando
datos confidenciales de altos
ejecutivos corporativos que viajan por el
extranjero, mientras se hospedan en hoteles de lujo.
Expertos del equipo GReAT (de Análisis e Investigación Global) de
Kaspersky Lab investigaron sobre la campaña de espionaje "Darkhotel",
que ha operado subrepticiamente durante al menos cuatro años y que ha
robado datos confidenciales de altos
ejecutivos corporativos
seleccionados que viajan por el extranjero. "Darkhotel" ataca a sus
objetivos cuando éstos se hospedan en hoteles de lujo.
"El grupo nunca va tras el mismo objetivo dos veces; realizan sus
operaciones con precisión quirúrgica, y obtienen todos los datos
valiosos que pueden desde el primer contacto; luego borran las huellas
de su trabajo y se esconden en las sombras a la espera del próximo
individuo de alto perfil", escribe Kaspersky
en un informe [PDF].
Los objetivos viajeros más recientes incluyen altos ejecutivos de los
Estados Unidos y Asia que realizan viajes de negocios e invierten en la
región Asia-Pacífico: directores
ejecutivos, vice presidentes,
directores de ventas y marketing así como personal importante de
Investigación y Desarrollo han sido blanco de ataques. ¿Quién sigue?
Esta amenaza aún está activa, advierte Kaspersky Lab.
Modus operandi
El actor Darkhotel mantiene una intrusión eficaz instalada en redes
hoteleras, el cual ha proporcionado un amplio acceso a través de los
años, incluso en sistemas que se consideraban seguros y privados.
Esperan hasta que, una vez registrada, la víctima se conecte a la red
Wi-Fi del hotel e ingrese su número de habitación y apellido en el
inicio de sesión. Los atacantes pueden ver al huésped en la red
comprometida y lo engañan para que descargue e instale un backdoor
(puerta trasera) que pretende ser una actualización de software legítimo
– Google Toolbar, Adobe Flash o Windows Messenger. El ejecutivo
desprevenido descarga este "paquete de bienvenida" del hotel, sólo para
infectar su máquina con un backdoor, software de
espionaje de
Darkhotel.
Una vez en un sistema, el backdoor ha sido y puede ser utilizado para
seguir descargando herramientas para robo más avanzadas: un registrador
de teclas avanzado firmado digitalmente, el Troyano "Karba" y un módulo
para robo de información. Estas herramientas recogen datos sobre el
sistema y del software anti-malware instalado en él, roba todas las
pulsaciones de teclas, y caza las contraseñas almacenadas en caché en
Firefox, Chrome e Internet Explorer; Gmail Notifier, Twitter, Facebook,
Yahoo! y las credenciales de inicio de sesión de Google, así como otra
información privada. Las víctimas pierden información confidencial –
probablemente la propiedad intelectual de las entidades de negocio que
representan. Después de la operación, los atacantes cuidadosamente
borran sus herramientas de la red del hotel y se esconden nuevamente.
Kurt Baumgartner, Investigador Principal de Seguridad en Kaspersky Lab,
señala que “en los últimos años, un robusto actor llamado Darkhotel ha
realizado una serie de ataques con éxito contra personalidades de alto
perfil, empleando métodos y técnicas que van mucho más allá del
comportamiento típico de la ciberdelincuencia. Esta amenaza tiene
competencia operativa, capacidades ofensivas matemáticas y
crypto-analíticas, y otros recursos que son suficientes para abusar de
redes comerciales de confianza y ataca categorías de víctimas
específicas con precisión estratégica”.
Sin embargo, la actividad maliciosa de Darkhotel puede no ser
coherente: es indiscriminado en su propagación de malware junto con sus
ataques muy concretos.
"La combinación de ataques indiscriminados y selectivos se está
haciendo cada vez más común en la escena de las Amenazas Persistentes
Avanzadas, donde los ataques selectivos se utilizan para comprometer a
víctimas de alto perfil, y las operaciones al estilo botnet se utilizan
para vigilancia de masas o para realizar otras tareas como partes
hostiles DDoSing o simplemente actualizar víctimas interesantes para
herramientas de espionaje más sofisticadas", añade Kurt Baumgartner.
Los investigadores de Kaspersky Lab indicaron que los atacantes dejaron
una huella en una cadena dentro de su código malicioso señalando a un
actor de habla coreana. Los productos de Kaspersky Lab detectan y
neutralizan los programas maliciosos y sus variantes utilizadas por la
herramienta Darkhotel. Kaspersky Lab está trabajando actualmente con
organizaciones relevantes para atenuar el problema.
Cómo protegerse de Darkhotel
"Cuando viaje, cualquier tipo de red, incluso las semi-privadas en
hoteles, se deben considerar como potencialmente peligrosas",
explica Kaspersky, agregando que el caso Darkhotel ilustra un vector de
ataque en evolución: individuos que poseen información valiosa pueden
ser víctimas fáciles incluso de Darkhotel, ya que aún está activo, o a
algo parecido a un ataque Darkhotel.
Fuente:
DiarioTI
