Investigadores de ciberseguridad han descubierto una nueva campaña de ciberespionaje dirigida a la aviación, las comunicaciones por satélite y la infraestructura crítica de transporte en los Emiratos Árabes Unidos.
El ataque, atribuido por Proofpoint a un clúster conocido como UNK_CraftyCamel, empleó una sofisticada cadena de infección para implementar una puerta trasera recién descubierta llamada Sosano.
La campaña, que tuvo lugar en el otoño de 2024, tuvo como objetivo a menos de cinco organizaciones con correos electrónicos maliciosos enviados desde una empresa de electrónica india comprometida, INDIC Electronics. Los actores de la amenaza utilizaron señuelos altamente personalizados, entregando un archivo ZIP que contenía archivos políglotas para eludir las detecciones de seguridad e implementar malware sin ser detectados.
«Los archivos políglotas son archivos que se pueden interpretar en varios formatos diferentes, según cómo se lean», explicó Proofpoint.
“Se crean estructurando cuidadosamente los datos para que distintos analizadores interpreten el mismo archivo de forma diferente, a menudo explotando peculiaridades específicas del formato o encabezados superpuestos. No se utilizan habitualmente en el desarrollo de software cotidiano, pero siguen siendo una herramienta potente y de nicho en dominios técnicos especializados”.
Por ello, los investigadores creen que el uso de estas técnicas demuestra un adversario avanzado con un enfoque en el sigilo y la ofuscación.
Proofpoint ha rastreado a UNK_CraftyCamel como un grupo de intrusión distinto. Si bien algunas tácticas y técnicas se superponen con actores de amenazas conocidos alineados con Irán, como TA451 y TA455, los investigadores no han vinculado definitivamente esta actividad con ningún grupo identificado previamente.
El enfoque de los atacantes en la aviación y las comunicaciones satelitales en los Emiratos Árabes Unidos sugiere un motivo estratégico de recopilación de inteligencia.
Los equipos de seguridad tienen varias oportunidades para detectar la cadena de infección del malware Sosano, incluido el monitoreo de archivos LNK que se ejecutan desde directorios recién creados o descomprimidos, la presencia de un archivo URL en la clave de ejecución del registro y archivos URL que inician cualquier cosa que no sea un navegador web.
Además, detectar archivos ejecutables que acceden a archivos JPG desde directorios de usuarios puede ayudar a identificar amenazas potenciales antes de que ejecuten cargas útiles maliciosas.