Un grupo de hackers compromete dispositivos USB encriptados para infiltrarse en redes gubernamentales
Gobiernos ubicados en la región Asia Pacífico podrían haber visto comprometidos sus discos USB a través de un nuevo tipo de troyano.
Las amenazas informáticas a gobiernos de todo el planeta están a la orden del día, pero descubrir cómo un troyano parece haber estado actuando en los últimos años en gobiernos asiáticos sin levantar sospechas es algo que pocas veces se ha podido comprobar, pero que ha sucedido en esta ocasión. Enseguida te explicamos lo que ha ocurrido y cómo es posible infectar unidades USB en sistemas con una protección de alta seguridad.
La amenaza de TetrisPhantom
Obtener información privilegiada de equipos gubernamentales no es tarea sencilla, dado que en la mayoría de las ocasiones estamos hablando de redes desconectadas, es decir, de equipos que no están físicamente vinculados, como podría hacerse conectando dos ordenadores a través de un cable USB, y que no cuentan con conexión a internet.
En este caso, según la información publicada en la web Bleeping Computer, la amenaza lleva el nombre de TetrisPhantom y ha conseguido comprometer dispositivos USB encriptados de gobiernos de la región Asia Pacífico.
New TetrisPhantom hackers steal data from secure USB drives on govt systems - @billtoulashttps://t.co/uIvaYTehvlhttps://t.co/uIvaYTehvl
— BleepingComputer (@BleepinComputer) October 22, 2023
Este tipo de dispositivos suele tener una partición cifrada que es la que se utiliza para transferir datos de manera segura, pero parece que el software de TetrisPhantom habría sido capaz de acceder a esta región segura de las unidades USB. De hecho, parece que el grupo que se encuentra detrás del ataque habría utilizado una gran variedad de 'herramientas, comandos y componentes de malware' para conseguir su objetivo.
🤖 A sophisticated campaign known as TetrisPhantom is targeting APAC government entities, covertly harvesting sensitive data via secure USB drives.
— The Hacker News (@TheHackersNews) October 18, 2023
Read: https://t.co/8MxuLWQGMn#cybersecurity #hacking
El método descrito por la compañía de ciberseguridad Kaspersky establece que el proceso se inicia con la ejecución de un conjunto de datos, lo que se denomina payload, que en este caso lleva por nombre AcroShell. Esta carga es la que establece la comunicación con el servidor del atacante para poder hacerse con más información y para conocer detalles de las unidades USB que el ordenador utiliza.
Después, se despliega un módulo XMKR, que permitirá comprometer la seguridad de las unidades USB que se conecten al ordenador Windows en cuestión para poder extender el ataque. El siguiente paso ya implica extraer la información del USB comprometido cuando éste se acopla a un ordenador que está conectado a internet y que está infectado con AcroShell. Por el momento, parece que hablamos de un ataque bien medido, ya que Kaspersky habla de unas pocas infecciones en redes gubernamentales.