El Equipo de Respuesta a Emergencias Informáticas del gobierno ucraniano (CERT-UA) ha revelado recientemente los rápidos métodos de robo de datos de la APT conocida como UAC-0010 (alias Armageddon, Gamaredon).
En un nuevo aviso (en ucraniano) publicado el 13 de julio de 2023, el CERT-UA afirma que Gamaredon está formado por antiguos agentes del Servicio de Seguridad de Ucrania (SBU) en Crimea, que desertaron en 2014 y empezaron a servir al FSB ruso.
El objetivo principal de Gamaredon es el ciberespionaje contra las fuerzas de seguridad de Ucrania, con pruebas de acciones destructivas en objetivos de infraestructuras de información.
El grupo infecta principalmente ordenadores gubernamentales, en particular dentro de los sistemas de comunicación, a menudo utilizando cuentas comprometidas y diversas tácticas como correos electrónicos y mensajes de Telegram, WhatsApp y Signal.
También utilizan malware como GammaSteel para exfiltrar rápidamente archivos en 30-50 minutos, centrándose principalmente en documentos con extensiones específicas.
Tras la infección inicial, el ordenador de la víctima puede contener entre 80 y 120 archivos maliciosos durante aproximadamente una semana, excluyendo los archivos en soportes extraíbles. La reinfección es muy probable si quedan archivos infectados durante el proceso de desinfección.
El método preferido de Gamaredon para el ataque inicial consiste en enviar a las víctimas un archivo comprimido que contiene ficheros HTM o HTA que inician la cadena de infección.
El grupo se basa en gran medida en PowerShell para el robo de documentos y la ejecución remota de comandos, y pueden instalar Anydesk para el acceso remoto interactivo.
Para eludir la detección, Gamaredon se adapta continuamente a las medidas defensivas, utilizando scripts de PowerShell para eludir la autenticación de dos factores y cambiando con frecuencia las direcciones IP.
El artículo del CERT-UA proporciona una lista de indicadores de compromiso (IoC) para la detección eficaz de Gamaredon.
También insta al personal militar ucraniano a instalar software de detección de extremos y respuesta a amenazas (EDTR) para minimizar los riesgos, especialmente para los sistemas fuera del perímetro de protección, incluidos los que utilizan terminales Starlink para acceder a Internet.