Kaspersky ha identificado varios cientos de víctimas de esta campaña en Europa, entre ellas usuarios y organizaciones españolas. España se encuentra entre los países europeos más afectados por la campaña, junto con Países Bajos, Bélgica y Alemania. La campaña también ha afectado a víctimas en otros países como Rusia, Turquía, Japón, Kenia, Uganda y Colombia.

El Global Research and Analysis Team (GReAT) de Kaspersky ha descubierto una nueva y sofisticada campaña dirigida tanto a usuarios particulares como a organizaciones. La campaña utiliza una nueva variante de malware hasta ahora desconocida, que se distribuye a través de trackers de torrents haciéndose pasar por películas populares, entre ellas The Odyssey. Uno de los repositorios públicos de archivos torrent más conocidos fue vulnerado y posteriormente utilizado para distribuir la carga maliciosa. Entre las víctimas identificadas hasta el momento se encuentran organizaciones de los sectores empresarial, gubernamental, tecnológico, consultoría, retail, transporte y agricultura. La campaña está activa desde, al menos, mediados de agosto y continúa en curso.

Una campaña por fases diseñada para evitar la detección

El ciberataque se basa en una infraestructura multietapa compuesta por diferentes elementos que actúan de forma coordinada durante las distintas fases de la intrusión.

En la fase inicial, el malware utiliza un loader capaz de detectar sandboxes de antivirus, entornos aislados que utilizan las soluciones de seguridad para analizar de forma segura archivos sospechosos. Esta capacidad permite al malware determinar si está siendo analizado y, en ese caso, evitar su detección o dificultar las labores de investigación.

Una vez activo en el dispositivo de la víctima, el malware despliega módulos adicionales que amplían sus capacidades. Estos módulos permiten establecer mecanismos de persistencia, de modo que el malware permanezca en el sistema incluso después de reiniciar el dispositivo o de haber sido detenido; eludir el Control de cuentas de usuario (UAC) para obtener privilegios de administrador en Windows sin activar la habitual ventana de advertencia; y, finalmente, proporcionar a los atacantes acceso remoto al equipo comprometido.

Para obtener la dirección de su servidor de mando y control (C2), el malware utiliza la cadena de bloques de Solana. Esta técnica proporciona a los atacantes una forma más resiliente de mantener el control sobre su infraestructura y dificulta las labores de bloqueo o desmantelamiento de la campaña.

“La campaña destaca por combinar un señuelo muy habitual con un diseño técnico sofisticado. Al ocultar el malware en torrents de películas populares, los atacantes aumentan las probabilidades de que usuarios desprevenidos descarguen los archivos. Una vez ejecutado, el malware multietapa, está diseñado para evitar la detección, establecer mecanismos de persistencia y proporcionar a los atacantes acceso remoto a los dispositivos infectados. Los usuarios deben extremar las precauciones al descargar archivos desde fuentes no oficiales, ya que incluso contenidos de entretenimiento aparentemente inofensivos pueden utilizarse como vía de entrada para comprometer un dispositivo”, señala Konstantin Isakov, experto en seguridad de Kaspersky GReAT.

Las soluciones de seguridad de Kaspersky detectan el malware descrito. El análisis técnico completo está disponible en Securelist.com.

Recomendaciones para mantenerse protegido

Para protegerse frente a este tipo de amenazas, Kaspersky recomienda a los usuarios:
· Extremar las precauciones al descargar archivos. Es más seguro descargar juegos y mods únicamente desde fuentes oficiales o sitios web de confianza. Las fuentes no oficiales pueden contener malware. · Utilizar una solución de seguridad eficaz, como Kaspersky Premium, en todos los ordenadores y dispositivos móviles. Esta solución alerta sobre posibles amenazas y ayuda a prevenir las infecciones.
· No desactivar nunca el antivirus ni otras herramientas de seguridad para poder descargar archivos o instalar programas.

En el caso de las organizaciones, Kaspersky recomienda:
· Establecer directrices claras sobre el uso de software de terceros en los dispositivos corporativos. · Utilizar soluciones integrales de la gama Kaspersky Next, que ofrecen protección en tiempo real, visibilidad sobre las amenazas y capacidades de investigación y respuesta propias de las soluciones EPP, EDR y XDR. En función de las necesidades y los recursos disponibles, las organizaciones pueden elegir la solución más adecuada dentro de esta gama y migrar fácilmente a otra si sus requisitos de ciberseguridad cambian.
· Proporcionar a los profesionales de seguridad de la información una visibilidad detallada de las ciberamenazas dirigidas contra la organización. Kaspersky Threat Intelligence ofrece información y contexto relevante a lo largo de todo el ciclo de gestión de incidentes y ayuda a identificar los riesgos de ciberseguridad de forma temprana.
· Recurrir a servicios de seguridad gestionados si la empresa no dispone de conocimientos especializados en ciberseguridad. Kaspersky ofrece servicios como Compromise Assessment, Managed Detection and Response e Incident Response, que cubren todo el ciclo de gestión de incidentes, desde la identificación de amenazas hasta la protección continua y la remediación.