Un grupo hacktivista alineado con Bielorrusia, conocido como Partisan Zmiy (o Cyber Partisans), logró infiltrarse y permanecer en la red de una organización de salud rusa durante casi dos años. Durante esta prolongada intrusión, el grupo desplegó un sofisticado backdoor llamado Vasilek, que se disfrazó como un componente legítimo de VMware para mantener el sigilo y la persistencia en el entorno de la víctima. Este incidente destaca la creciente sofisticación y paciencia de los actores de amenazas en la ejecución de ciberataques.
La táctica principal de los atacantes consistió en establecer una persistencia a largo plazo mediante la instalación de un servicio cargador-programador, denominado “vmauad”, que simulaba ser un componente de VMware. Este servicio malicioso fue ubicado estratégicamente en un directorio de VMware Tools, de confianza pero poco monitoreado. Su función era ejecutar un binario fraudulento, “authd.exe”, que, además de establecer un túnel GOST cifrado para comunicaciones, lanzaba la versión 1.5.8 del backdoor Vasilek.
Vasilek es una herramienta versátil diseñada para el espionaje y control remoto. Sus capacidades incluyen la recolección de información del sistema, la ejecución de comandos de Windows, la transferencia de archivos, la captura de pantallas, el registro de pulsaciones de teclado y la escalada de privilegios. Una adición notable en esta versión es la capacidad de mover el cursor y simular la interacción del usuario en la pantalla de la víctima. El grupo demostró un fuerte enfoque en la seguridad operativa y el sigilo, empleando técnicas como el enmascaramiento de identidad y el borrado sistemático de logs de eventos para evadir la detección.
Aunque el vector de acceso inicial exacto para esta intrusión en particular no ha sido identificado, en ataques previos, Cyber Partisans ha utilizado señuelos de phishing para desplegar instaladores que simultáneamente implementan software legítimo como FortiClient VPN junto con herramientas maliciosas. Este modus operandi subraya la importancia de una estrategia de seguridad que no solo se centre en la prevención, sino también en la detección proactiva de actividades anómalas, incluso si se presentan a través de canales aparentemente legítimos.
Qué significa para tu empresa: Este incidente subraya la necesidad crítica de una defensa en profundidad contra amenazas persistentes y sigilosas. La capacidad de un atacante para permanecer en una red por años, ocultando un backdoor en componentes legítimos, demuestra que la protección perimetral por sí sola no es suficiente. Es fundamental contar con un SOC con monitoreo 24/7 que, complementado con una protección de endpoints EDR/XDR y una analítica de logs avanzada, pueda detectar comportamientos anómalos y actividades maliciosas incluso cuando se disfrazan de operaciones legítimas de sistemas como VMware Tools, permitiendo una respuesta rápida antes de que se produzcan daños mayores.
Fuente original: The Hacker News — ver artículo →