El Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) afirma que piratas informáticos rusos han accedido a varios sitios web gubernamentales esta semana utilizando puertas traseras colocadas en diciembre de 2021.
CERT-UA detectó los ataques tras descubrir el jueves por la mañana un shell web en uno de los sitios web hackeados que los actores de la amenaza (rastreados como UAC-0056, Ember Bear o Lorec53) utilizaron para instalar malware adicional.
Esta web shell se creó en diciembre de 2021 y se utilizó para desplegar las puertas traseras CredPump, HoaxPen y HoaxApe hace un año, en febrero de 2022, según CERT-UA.
Los actores de la amenaza también utilizaron las herramientas GOST (Go Simple Tunnel) y Ngrok durante las primeras etapas de su ataque para desplegar el backdoor HoaxPen.
«Hoy, 23 de febrero, se ha detectado un ataque a varios sitios web de las autoridades centrales y locales ucranianas, que ha provocado la modificación del contenido de algunas de sus páginas web», declaró el jueves la agencia ucraniana de defensa y seguridad cibernética SSSCIP.
«En la actualidad, en el marco del Equipo de Respuesta Unida dependiente del Centro Nacional de Coordinación de la Ciberseguridad, expertos de la SSSCIP, el Servicio de Seguridad de Ucrania y la Policía Cibernética trabajan conjuntamente para aislar e investigar el ciberincidente».
El SSSCIP añadió que el incidente no había causado «fallos o interrupciones esenciales del sistema» que pudieran afectar al funcionamiento de las autoridades públicas ucranianas.
Ember Bear, el grupo detrás del incidente de esta semana, ha estado activo desde al menos marzo de 2021 y se centra en atacar a entidades ucranianas con puertas traseras, ladrones de información y falsos ransomware entregados principalmente a través de correos electrónicos de phishing.
Sin embargo, también se sospecha que sus operadores orquestan ataques contra organizaciones norteamericanas y de Europa Occidental.
El grupo APT fue visto intensificando sus campañas de phishing y sus esfuerzos por comprometer la red en Ucrania a partir de diciembre de 2021.
También se les vio dirigiéndose a agencias gubernamentales georgianas con correos electrónicos de phishing, y sus ataques han demostrado coordinación y alineación con intereses estatales rusos.
