Investigadores de seguridad han detectado una nueva campaña de phishing vinculada a un conocido grupo de desinformación que tiene como objetivo a los gobiernos europeos que intentan gestionar la afluencia de refugiados ucranianos.
Según Proofpoint, el correo electrónico original de phishing, detectado por primera vez el 24 de febrero, se envió a través de una cuenta comprometida perteneciente a un miembro del ejército ucraniano.
El correo electrónico se basaba en la noticia de una reciente reunión del Consejo de Seguridad de la ONU y contenía una macro XLS maliciosa que posteriormente se determinó que contenía el malware SunSeed. El propio archivo se falsificó para que pareciera que contenía una «lista de asesinatos» de figuras ucranianas recientemente descubierta y elaborada por Moscú.
El momento también parecía coincidir con las advertencias del CERT ucraniano sobre las extensas campañas de phishing dirigidas al personal militar y sus familiares y lanzadas por el grupo bielorruso Ghostwriter (UNC1151/TA445).
Aunque Proofpoint dijo que no tenía pruebas técnicas definitivas que relacionaran la campaña con Ghostwriter, había detectado «varios indicadores temporales y anecdóticos».
Podría ser que el grupo esté reuniendo pruebas para ayudar a elaborar más narrativas sobre los migrantes y los refugiados con la intención de sembrar la discordia en toda Europa, una táctica que ya ha utilizado antes.