Descubren al Grupo Poseidón
El Equipo de Análisis e Investigación Global de Kaspersky Lab anunció el descubrimiento del Grupo Poseidón, un actor de amenazas avanzadas, activo en operaciones globales de ciberespionaje desde por lo menos el 2005. Lo interesante del Grupo Poseidón es que se trata de una entidad comercial, cuyos ataques están relacionados con malware firmado digitalmente con certificados falsos para robar datos confidenciales de sus víctimas y así obligarlos a establecer una relación de negocios. Además, el malware está diseñado para funcionar específicamente en máquinas con Windows en inglés y portugués brasileño, por primera vez detectado en un ataque dirigido.
Se han identificado al menos 35 empresas víctimas con objetivos primarios siendo instituciones financieras y gubernamentales, telecomunicaciones, manufactura, energía y otras de servicios públicos, así como empresas de medios de comunicación y de relaciones públicas. Los expertos también han detectado ataques en empresas de servicios que atienden a altos ejecutivos corporativos. Las víctimas de este grupo se han encontrado en los siguientes países:
- Estados Unidos
- Francia
- Kazajstán
- Emiratos Árabes Unidos
- India
- Rusia
Sin embargo, la propagación de víctimas está muy inclinada hacia Brasil, donde muchas de las víctimas tienen empresas conjuntas u operaciones asociadas.
Una de las características del Grupo Poseidón es la exploración activa de las redes corporativas basadas en el dominio. Según el informe de análisis, el Grupo Poseidón depende de correos electrónicos de spear-phishing con archivos RTF/DOC, por lo general con un señuelo de recursos humanos, que deposita un binario malicioso en el sistema del objetivo cuando este le hace clic. Otro hallazgo clave es la presencia de cadenas en idioma portugués brasileño. La preferencia del Grupo por los sistemas en portugués, según lo revelado en las muestras, es una práctica que hasta ahora no se había visto.
La información recopilada es aprovechada por un supuesto negocio para manipular a las compañías víctimas a que contraten al Grupo Poseidón como consultor de seguridad, bajo la amenaza de utilizar la información robada en una serie de negocios turbios en beneficio de Poseidón.
«El Grupo Poseidón es un equipo de muchos años que opera en todos los dominios: tierra, aire y mar. Algunos de sus centros de comando y control se han encontrado dentro de ISPs que ofrecen servicios de Internet a buques en el mar, conexiones inalámbricas, así como dentro de ISPs de operadores tradicionales», dijo Dmitry Bestuzhev, Director del Equipo de Análisis e Investigación Global de Kaspersky Lab América Latina. «Además, se encontró que varios de sus implantes tenían una vida útil muy corta, lo cual contribuyó a que este Grupo haya podido operar durante mucho tiempo sin ser detectado».
A pesar de que el Grupo Poseidón ha estado activo durante al menos diez años, las técnicas utilizadas para diseñar sus implantes han evolucionado, lo cual dificulta a los investigadores a correlacionar indicadores y poner todas las piezas juntas. Sin embargo, al recopilar cuidadosamente todas las evidencias, trabajando con la caligrafía del actor y reconstruyendo la línea de tiempo del atacante, los expertos fueron capaces de establecer a mediados de 2015 que los rastros detectados anteriormente, pero sin identificar, de hecho pertenecían al mismo actor de las amenazas, el Grupo Poseidón.
