Ciberseguridad

Un grupo de espionaje vinculado a Irán que se encontró en sectores críticos de infraestructura, energía y militar en Arabia Saudita y Estados Unidos hace dos años, sigue en busca de organizaciones en ambos países, informó Symantec el miércoles.

Ampliamente conocido como APT33, que Symantec llama a Elfin, el grupo de espionaje virtual está activo desde finales de 2015 y tiene como objetivo una amplia gama de organizaciones, incluyendo al gobierno, investigación, química, ingeniería, manufactura, consultoría, finanzas y telecomunicaciones en Oriente Medio y en otras partes del mundo.

Symantec comenzó a monitorear los ataques de Elfin desde principios de 2016 y descubrió que el grupo lanzó una campaña altamente dirigida contra varias organizaciones, con el 42% de los ataques más recientes observados contra Arabia Saudita y el 34% contra Estados Unidos. Elfin segmentó un total de 18 organizaciones estadounidenses en los sectores de ingeniería, química, investigación, consultoría de energía, finanzas, TI y salud en los últimos tres años, incluyendo varias empresas de la Fortune 500.

"Algunas de esas organizaciones estadounidenses pueden haber sido blanco de Elfin con el objetivo de aumentar los ataques de la cadena de suministros", dijo a Symantec en su post en el blog. "Por ejemplo, una gran empresa de EEUU fue atacada el mismo mes en que una empresa de Oriente Medio que es co-propietaria y también fue comprometida”.

Los hackers todavía exploran fallas recientemente descubiertas en WinRAR

El grupo APT33 también exploró una vulnerabilidad crítica divulgada recientemente (CVE-2018-20250) en la aplicación ampliamente utilizada para la compresión de archivos WinRAR, que permite a los invasores de forma remota extraer archivos maliciosos de un archivo inofensivo a una carpeta de inicio de Windows, que ejecutan código arbitrario en el equipo de destino.

La vulnerabilidad ya fue corregida por el equipo de WinRAR el mes pasado, pero fue activamente explotado por varios grupos de hackers y hackers individuales después de que sus detalles y código de exploración de prueba de concepto (PoC) se convirtieron en públicos.

En la campaña de APT33, la explotación de WinRAR fue utilizada contra una organización objetivo en el sector de productos químicos en Arabia Saudita, donde dos de sus usuarios recibieron un archivo a través de un correo electrónico de spear phishing que intentó explotar la vulnerabilidad de WinRAR.

Aunque Symantec no es la única empresa que identifica ataques con el error de WinRAR, la empresa de seguridad FireEye también identificó cuatro campañas independientes que se encontraron explorando la vulnerabilidad de WinRAR para instalar ladrones de contraseñas, troyanos y otros programas maliciosos