Ataque ScarCruft: Juegos comprometidos en cadena de suministro
Un ataque sofisticado, orquestrado por el grupo de ciberataques norcoreano ScarCruft, conocido también como APT37 o Reaper, ha comprometido una plataforma de videojuegos utilizada por la población coreana étnica que reside en la región de Yanbian, en China. La operación, que se estima que comenzó a finales de 2024, ha afectado a componentes tanto de Windows como de Android, introduciendo un *backdoor* – una puerta trasera – que permite la recopilación de datos personales, la captura de imágenes y la grabación de conversaciones. Este tipo de ataque, que se suma a la ya conocida actividad de ScarCruft, pone de manifiesto la creciente amenaza que representan los grupos de ciberespionaje patrocinados por estados para objetivos específicos, en este caso, la población de defensores norcoreanos y, en general, organizaciones gubernamentales y militares con intereses estratégicos. La relevancia de este incidente radica en la sofisticación del ataque y la utilización de herramientas previamente conocidas, lo que sugiere un nivel de planificación y ejecución que indica un objetivo bien definido y una capacidad de adaptación por parte de los atacantes.
El descubrimiento de esta campaña de intrusiones se produjo tras una investigación realizada por ESET, que identificó una cadena de suministro comprometida. La amenaza se originó en la plataforma de videojuegos Yanbian Red Ten, un servicio popular para juegos de cartas y damas, dirigido a la comunidad coreana étnica de Yanbian, una región fronteriza de China que históricamente ha servido como punto de tránsito para refugiados norcoreanos. La vulnerabilidad explotada permitió la instalación de un *backdoor* en los componentes del sistema, lo que representa una seria amenaza para la seguridad de los usuarios y las empresas que dependen de la plataforma. La naturaleza del ataque, que involucra la modificación de aplicaciones existentes, es particularmente preocupante, ya que dificulta la detección y la prevención.
Análisis técnico
El ataque se basa en la utilización de un *backdoor* llamado BirdCall, que ya había sido identificado por ESET en 2021 y que se atribuyó a ScarCruft. Este *backdoor*, escrito en C++, ofrece un amplio abanico de capacidades de espionaje, incluyendo la captura de capturas de pantalla, el registro de pulsaciones de teclas y el contenido del portapapeles, el robo de credenciales y archivos, y la ejecución de comandos en el sistema. El funcionamiento del *backdoor* implica una arquitectura multistage, comenzando con un script en Ruby o Python, y utilizando componentes cifrados con una clave específica para cada ordenador, lo que dificulta su detección y análisis. Para la comunicación con el servidor de control (C&C), el *backdoor* utiliza servicios de almacenamiento en la nube legítimos, como Dropbox o pCloud, o sitios web comprometidos, lo que le permite operar de forma encubierta y evitar la detección por parte de los sistemas de seguridad tradicionales. La capacidad de ScarCruft para reutilizar y adaptar herramientas previamente desarrolladas es un indicador de su sofisticación y su capacidad para mantener la ventaja sobre sus posibles víctimas.
El *backdoor* BirdCall, en su versión de Windows, es una herramienta de espionaje avanzada, que ha sido descrita por empresas de seguridad coreanas como una versión mejorada de RokRAT. La capacidad de realizar análisis de código, recopilar información sobre el entorno del usuario y ejecutar comandos arbitrarios convierte al *backdoor* en una amenaza significativa para la seguridad de los sistemas Windows. La utilización de técnicas de cifrado y la comunicación a través de canales encriptados añade una capa adicional de complejidad al ataque, dificultando su rastreo y su intercepción. La capacidad de ScarCruft para adaptar el *backdoor* a diferentes plataformas, como Android, demuestra su flexibilidad y su capacidad para explotar nuevas vulnerabilidades a medida que surgen.
La arquitectura del *backdoor* está diseñada para ser lo más discreta posible, minimizando la huella que deja en el sistema. El uso de técnicas de rootkit y la ejecución de código en entornos aislados contribuyen a ocultar la presencia del *backdoor* y a evitar su detección por parte de los programas antivirus. La capacidad de ScarCruft para automatizar la instalación y la ejecución del *backdoor* permite llevar a cabo ataques a gran escala de forma eficiente y encubierta.
Contexto y antecedentes
Este ataque se enmarca dentro de una tendencia creciente de ataques de cadena de suministro, donde los atacantes comprometen software o componentes de terceros para acceder a sistemas y datos sensibles. ScarCruft ha sido identificado como un actor de ciberespionaje patrocinado por el gobierno norcoreano desde al menos 2012, y ha sido señalado como responsable de una serie de ataques dirigidos a organizaciones gubernamentales y militares de Corea del Sur, así como a empresas en diversos sectores industriales. La persistencia de ScarCruft en su actividad de espionaje sugiere que la amenaza representa un riesgo significativo para la seguridad nacional y la seguridad económica de los países afectados.
El grupo ha mostrado un interés particular en organizaciones gubernamentales y militares, así como en empresas que operan en sectores estratégicos, como la defensa, la energía y la comunicación. Además, ScarCruft ha sido vinculado a ataques dirigidos a defensores norcoreanos, lo que sugiere que la motivación del grupo va más allá del simple espionaje y que podría estar relacionado con la recopilación de información para fines de inteligencia o de operaciones encubiertas. El uso de la plataforma de juegos Yanbian Red Ten como vector de ataque es un ejemplo de la capacidad de ScarCruft para explotar vulnerabilidades en entornos aparentemente benignos, como los utilizados por la población civil.
Impacto y afectados
El impacto directo de este ataque se centra en los usuarios de la plataforma de juegos Yanbian Red Ten, que han visto comprometidos sus dispositivos y sus datos personales. La recopilación de información confidencial, como contraseñas, datos bancarios y documentos privados, podría tener graves consecuencias para los usuarios, incluyendo el robo de identidad, el fraude financiero y el acceso no autorizado a cuentas y sistemas. Además, la capacidad del *backdoor* para realizar capturas de pantalla y grabar conversaciones representa una amenaza para la privacidad y la seguridad de los usuarios.
La escala del problema es difícil de determinar con exactitud, pero se estima que miles de usuarios de la plataforma de juegos Yanbian Red Ten podrían haber sido afectados. La plataforma es popular entre la población coreana étnica de Yanbian, que comprende aproximadamente 300.000 personas, lo que amplía significativamente el alcance del ataque. La empresa detrás de la plataforma, SQGame, ha confirmado el incidente y ha iniciado una investigación para determinar el alcance del daño y tomar medidas para prevenir futuros ataques. La reputación de la empresa también ha sido afectada, lo que podría tener consecuencias económicas a largo plazo.
Medidas de mitigación y recomendaciones
Los usuarios afectados deben tomar medidas inmediatas para proteger sus dispositivos y sus datos personales. Lo primero que deben hacer es desinstalar la aplicación Yanbian Red Ten de sus dispositivos, así como cualquier otro software asociado a la plataforma. También deben cambiar sus contraseñas en todas las cuentas que utilicen, incluyendo cuentas de correo electrónico, cuentas bancarias y cuentas de redes sociales. Además, deben revisar sus cuentas bancarias y sus estados de cuenta en busca de transacciones sospechosas. Se recomienda encarecidamente que los usuarios instalen un software antivirus de confianza y lo mantengan actualizado.
Las autoridades chinas están investigando el incidente y han emitido una orden para que SQGame tome medidas para proteger su plataforma de juegos. También están colaborando con las fuerzas de seguridad internacionales para rastrear y detener a los responsables del ataque. Es probable que se establezcan nuevas regulaciones para garantizar la seguridad de las plataformas de juegos y proteger a los usuarios de ataques cibernéticos. La plataforma SQGame debe implementar medidas de seguridad más robustas, incluyendo la autenticación de dos factores, el cifrado de datos y la monitorización constante de la actividad en la plataforma.
Conclusión
El ataque perpetrado por ScarCruft contra la plataforma de juegos Yanbian Red Ten es un ejemplo claro de la sofisticación y la amenaza que representan los grupos de ciberespionaje patrocinados por estados. La utilización de un *backdoor* previamente conocido, la explotación de una cadena de suministro comprometida y la recopilación de datos personales confidenciales ponen de manifiesto la vulnerabilidad de los sistemas y las redes informáticas a ataques cibernéticos. La capacidad de ScarCruft para adaptar sus tácticas y técnicas a diferentes objetivos y plataformas sugiere que la amenaza persistirá en el futuro.
Este incidente subraya la necesidad de una mayor colaboración entre los gobiernos, las empresas y los investigadores de seguridad para combatir la ciberdelincuencia. Es fundamental fortalecer la capacidad de detección y respuesta a los ataques cibernéticos, así como mejorar la concienciación sobre la seguridad informática entre los usuarios. La seguridad de la cadena de suministro es un área crítica que requiere una atención especial, ya que los ataques a través de esta cadena pueden tener consecuencias devastadoras. El caso de ScarCruft sirve como una advertencia para las empresas y los usuarios, instándolos a adoptar medidas proactivas para proteger sus sistemas y sus datos personales.
Fuente original: WeLiveSecurity
0 Comentarios