{"id":12111,"date":"2023-03-29T10:50:32","date_gmt":"2023-03-29T15:50:32","guid":{"rendered":"https:\/\/syspertec.com.co\/web\/?p=12111"},"modified":"2023-03-29T10:50:37","modified_gmt":"2023-03-29T15:50:37","slug":"alerta-de-seguridad-por-descubrimiento-de-malware-graphiron","status":"publish","type":"post","link":"https:\/\/syspertec.com.co\/web\/alerta-de-seguridad-por-descubrimiento-de-malware-graphiron\/","title":{"rendered":"<strong>Alerta de seguridad por descubrimiento de malware Graphiron<\/strong>"},"content":{"rendered":"\n<p>El panorama geopol\u00edtico, el aumento de ataques cada vez m\u00e1s sofisticados y la complejidad para gestionar la seguridad, han sido aprovechados por los ciberdelincuentes para continuar dise\u00f1ando malware y as\u00ed robar informaci\u00f3n e incluso pedir rescate por ella (ransomware).<\/p>\n\n\n\n<p>En ese ambiente, el Equipo de Inteligencia de Amenazas de Symantec, compa\u00f1\u00eda de Broadcom, detect\u00f3 Graphiron, nuevo malware de robo de informaci\u00f3n ruso desplegado contra Ucrania.<\/p>\n\n\n\n<p>El grupo Nodaria, vinculado a Rusia, ha desplegado una nueva amenaza dise\u00f1ada para robar una amplia gama de informaci\u00f3n de los computadores infectados.<\/p>\n\n\n\n<p>El grupo de espionaje Nodaria (tambi\u00e9n conocido como UAC-0056) est\u00e1 utilizando una nueva informaci\u00f3n para robar malware contra objetivos en Ucrania. El malware (Infostealer.Graphiron) est\u00e1 escrito en Go y est\u00e1 dise\u00f1ado para recolectar una amplia gama de informaci\u00f3n del computador infectado, incluida informaci\u00f3n del sistema, credenciales, capturas de pantalla y archivos.<\/p>\n\n\n\n<p>La evidencia m\u00e1s temprana de Graphiron data de octubre de 2022. Continu\u00f3 us\u00e1ndose hasta al menos mediados de enero de 2023 y es razonable suponer que sigue siendo parte del conjunto de herramientas de Nodaria.<\/p>\n\n\n\n<p>Dado que los ciberataques no tienen fronteras, <strong>eSoft LATAM<\/strong>,Partner VAD y el mejor Expert Advantage Partner, &amp; Technical Enablement, Latin America de <strong>Broadcom Software,<\/strong> brinda esta informaci\u00f3n descubierta por Symantec, para ayudar a las empresas a prevenir este tipo de ataques.<\/p>\n\n\n\n<p><strong>Modo de ataque<\/strong><\/p>\n\n\n\n<p>T\u00e9cnicamente, Graphiron es una amenaza de dos etapas que consta de un descargador (Downloader.Graphiron) y una carga \u00fatil (Infostealer.Graphiron).<\/p>\n\n\n\n<p>El descargador contiene direcciones de servidor de comando y control (C&amp;C) codificadas. Cuando se ejecuta, se comparar\u00e1 con una lista negra de herramientas de an\u00e1lisis de malware al verificar los procesos en ejecuci\u00f3n con los nombres. Si no se encuentran procesos en la lista negra, se conectar\u00e1 a un servidor C&amp;C y descargar\u00e1 y descifrar\u00e1 la carga \u00fatil antes de agregarla a la ejecuci\u00f3n autom\u00e1tica.<\/p>\n\n\n\n<p>El descargador est\u00e1 configurado para ejecutarse solo una vez. Si no puede descargar e instalar la carga \u00fatil, no har\u00e1 m\u00e1s intentos.<\/p>\n\n\n\n<p>Graphiron utiliza el cifrado AES con claves codificadas. Crea archivos temporales con las extensiones &#8220;.lock&#8221; y &#8220;.trash&#8221;. Utiliza nombres de archivos codificados dise\u00f1ados para hacerse pasar por ejecutables de Microsoft Office: OfficeTemplate.exe y MicrosoftOfficeDashboard.exe<\/p>\n\n\n\n<p>\u201cAnte este comportamiento, insistimos a las empresas siempre tener actualizado su sistema y contar con herramientas de an\u00e1lisis de malware para evitar ser v\u00edctimas de este tipo de ciberataques\u201d, coment\u00f3 Ricardo Dossantos, gerente de Ciberseguridad de<strong> eSoft LATAM<\/strong>.&nbsp;<\/p>\n\n\n\n<p>La segunda etapa de este malware opera como carga \u00fatil y es capaz de llevar a cabo las siguientes tareas:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Obtener la direcci\u00f3n IP de <a href=\"https:\/\/checkip.amazonaws.com\">https:\/\/checkip.amazonaws.com<\/a><\/li>\n\n\n\n<li>Recuperar el nombre de host, la informaci\u00f3n del sistema y la informaci\u00f3n del usuario.<\/li>\n\n\n\n<li>Robar datos de Firefox y Thunderbird<\/li>\n\n\n\n<li>Robar claves privadas de MobaXTerm.<\/li>\n\n\n\n<li>Robar hosts conocidos de SSH<\/li>\n\n\n\n<li>Robar datos de PuTTY<\/li>\n\n\n\n<li>Robar contrase\u00f1as almacenadas<\/li>\n\n\n\n<li>Tomar capturas de pantalla<\/li>\n\n\n\n<li>Crear un directorio<\/li>\n\n\n\n<li>Mostrar un directorio<\/li>\n\n\n\n<li>Ejecutar un comando de shell<\/li>\n\n\n\n<li>Robar un archivo arbitrario<\/li>\n<\/ul>\n\n\n\n<p>Seg\u00fan el an\u00e1lisis del equipo Incidentes de Symantec, Graphiron tiene algunas similitudes con herramientas antiguas de Nodaria como GraphSteel y GrimPlant. GraphSteel est\u00e1 dise\u00f1ado para extraer archivos junto con la informaci\u00f3n del sistema y las credenciales robadas de la b\u00f3veda de contrase\u00f1as mediante PowerShell. Graphiron tiene una funcionalidad similar, pero puede filtrar mucho m\u00e1s, como capturas de pantalla y claves SSH.<\/p>\n\n\n\n<p>Adem\u00e1s de esto, al igual que con el malware anterior, Graphiron se comunica con el servidor C&amp;C mediante el puerto 443 y las comunicaciones se cifran mediante el cifrado AES.<\/p>\n\n\n\n<p>Seg\u00fan la investigaci\u00f3n de Symantec, Nodaria ha estado activa desde al menos marzo de 2021 y parece estar involucrada principalmente en organizaciones de orientaci\u00f3n en Ucrania. Tambi\u00e9n hay evidencia limitada que sugiere que el grupo ha estado involucrado en ataques contra objetivos en Kirguist\u00e1n. Los informes de terceros tambi\u00e9n han vinculado al grupo con los ataques a Georgia.<\/p>\n\n\n\n<p>El grupo salt\u00f3 a la atenci\u00f3n del p\u00fablico cuando se vincul\u00f3 a los ataques WhisperGate Wiper que atacaron m\u00faltiples computadores y sitios web del gobierno ucraniano en enero de 2022. Cuando WhisperGate se carg\u00f3 inicialmente en un sistema, el malware sobrescrib\u00eda la parte del disco duro responsable de iniciar el sistema operativo cuando la m\u00e1quina se inicia con una nota de rescate que exige $ 10,000 en Bitcoin. Sin embargo, esto fue solo un se\u00f1uelo, ya que el malware WhisperGate destruye los datos en una m\u00e1quina infectada y no se puede recuperar, incluso si se paga un rescate.<\/p>\n\n\n\n<p>\u201cEl ransomware ha aumentado porque las empresas no han tenido pol\u00edticas y herramientas efectivas para la detecci\u00f3n de malware, dando tiempo y espacio para que los ciberdelincuentes est\u00e9n en sus sistemas y pidan rescate para que puedan volver a acceder a su informaci\u00f3n. Adem\u00e1s de las afectaciones en la continuidad de negocios, no hay garant\u00eda de que esa informaci\u00f3n ya no haya sido comercializada en la web profunda (dark web) y la est\u00e9n utilizando otros grupos para ir por m\u00e1s empresas y usuarios, o incluso, tampoco hay certeza de que no vuelvan a atacar a la empresa. Pagar un rescate nunca deber\u00eda ser una opci\u00f3n. Siempre recomendamos, tener una estrategia de ciberseguridad integral, que incluya tecnolog\u00eda, procesos y personas y dise\u00f1as planes Zero Trust para evitar este tipo de amenazas\u201d, agreg\u00f3 Ricardo Dos Santos, gerente de Servicios de<strong> eSoft LATAM<\/strong>, compa\u00f1\u00eda representante de las soluciones tecnol\u00f3gicas de clase mundial, con altos niveles de relacionamiento y Partner Tier1\/ VAD \u201cValue Added Distributor\u201d Expert Advantage Partner de Broadcom y Partner premier de Symantec<\/p>\n\n\n\n<p>Symantec brinda seguridad de punto final, seguridad en la nube, soluciones de seguridad de correo electr\u00f3nico, soluciones para protecci\u00f3n de datos y servicios de inteligencia de amenazas.<\/p>\n\n\n\n<p>Las soluciones y servicios de seguridad de Symantec est\u00e1n disponibles en el pa\u00eds a trav\u00e9s de <strong>eSoft LATAM.<\/strong><\/p>\n\n\n\n<p>Para m\u00e1s informaci\u00f3n: <a href=\"http:\/\/www.broadcom.com\">www.broadcom.com<\/a>.<\/p>\n\n\n\n<p>visite: <a href=\"https:\/\/esoft.com.co\/\">https:\/\/esoft.com.co<\/a><\/p>\n\n\n\n<p>Fuente: <a href=\"https:\/\/symantec-enterprise-blogs.security.com\/blogs\/threat-intelligence\/nodaria-ukraine-infostealer?utm_networkshareto=linkedin&amp;utm_userID=0a4e45ac-075c-4913-b149-68f8ddcb5e93&amp;utm_campaign_name=everyonesocial&amp;es_id=f8a685f5c4\">https:\/\/symantec-enterprise-blogs.security.com\/blogs\/threat-intelligence\/nodaria-ukraine-infostealer?utm_networkshareto=linkedin&amp;utm_userID=0a4e45ac-075c-4913-b149-68f8ddcb5e93&amp;utm_campaign_name=everyonesocial&amp;es_id=f8a685f5c4<\/a><\/p>\n\n\n\n<p>Encuentre a eSoft con este galard\u00f3n como Technical Enablement en: <a href=\"https:\/\/broadcom-software.security.com\/blogs\/feature-stories-broadcom-software\/broadcom-software-2022-partner-awards\">https:\/\/broadcom-software.security.com\/blogs\/feature-stories-broadcom-software\/broadcom-software-2022-partner-awards<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>El panorama geopol\u00edtico, el aumento de ataques cada vez m\u00e1s sofisticados y la complejidad para gestionar la seguridad, han sido aprovechados por los ciberdelincuentes para continuar dise\u00f1ando malware y as\u00ed robar informaci\u00f3n e incluso pedir rescate por ella (ransomware). En ese ambiente, el Equipo de Inteligencia de Amenazas de Symantec, compa\u00f1\u00eda de Broadcom, detect\u00f3 Graphiron, [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":12113,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"nf_dc_page":"","footnotes":""},"categories":[245],"tags":[244,195,119],"class_list":["post-12111","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-esoft","tag-esoft","tag-syspertec","tag-tecnologia"],"jetpack_featured_media_url":"https:\/\/syspertec.com.co\/web\/wp-content\/uploads\/2023\/03\/Broadcom-seguridad.jpg","_links":{"self":[{"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/posts\/12111","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/comments?post=12111"}],"version-history":[{"count":1,"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/posts\/12111\/revisions"}],"predecessor-version":[{"id":12114,"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/posts\/12111\/revisions\/12114"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/media\/12113"}],"wp:attachment":[{"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/media?parent=12111"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/categories?post=12111"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/syspertec.com.co\/web\/wp-json\/wp\/v2\/tags?post=12111"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}