Piratas informáticos rusos eluden la autenticación multifactor y acceden a cuentas de Gmail utilizando contraseñas específicas de apps en ataques avanzados de ingeniería social que suplantan la identidad de funcionarios del Departamento de Estado de EE. UU.
El actor de amenazas se dirigió a académicos reconocidos y críticos de Rusia en lo que se describe como un «ataque de ingeniería social novedoso, sofisticado y personalizado» que no presionó a las personas de interés para que actuaran.
Entre abril y principios de junio, los atacantes enviaron mensajes de phishing meticulosamente diseñados para convencer a los destinatarios de crear y compartir contraseñas específicas de apps que les permitieran acceder a sus cuentas de Gmail.
Una contraseña específica de la aplicación está diseñada para permitir que aplicaciones de terceros (por ejemplo, un cliente de correo electrónico) consideradas menos seguras o antiguas accedan a tu cuenta de Google si la autenticación de dos factores (2FA) está activa.
Investigadores de seguridad del Grupo de Inteligencia de Amenazas de Google rastrean al ciberactor como UNC6293. Creen que está patrocinado por un estado y podría estar asociado con APT29, un grupo de amenazas dependiente del Servicio de Inteligencia Exterior (SVR) de Rusia.
APT29 se rastrea bajo múltiples nombres (NobleBaron, Nobelium, Cozy Bear, CozyDuke, Midnight Blizzard) y opera desde al menos 2008.
Sus objetivos incluyen redes gubernamentales, institutos de investigación y centros de investigación.
Investigadores del Grupo de Inteligencia de Amenazas de Google (GTIG) determinaron que esta campaña de phishing selectivo comenzó al menos en abril y continuó hasta principios de junio.
Durante este período, identificaron dos campañas: una basada en temas relacionados con el Departamento de Estado de EE. UU. y otra que utilizaba señuelos asociados con Ucrania y Microsoft.
Ambas campañas incluían proxies residenciales (91.190.191[.]117) y servidores privados virtuales (VPS) en la infraestructura, lo que permitía al atacante mantener el anonimato al iniciar sesión en cuentas de correo electrónico comprometidas.
Las dos campañas de ingeniería social observadas por The Citizen Lab y GTIG fueron hábilmente diseñadas y se basaron en múltiples identidades, cuentas y diversos materiales falsos diseñados para contribuir al engaño.
Los usuarios que son blanco de tácticas avanzadas de phishing suelen ser personas estrechamente involucradas en asuntos de alto perfil relacionados con conflictos, litigios o defensa.
Para protegerlos de atacantes expertos, Google recomienda inscribirse en su Programa de Protección Avanzada, que refuerza las medidas de seguridad de la cuenta y no permite crear una cuenta.