El actor de amenazas TA2719 pone a España entre sus objetivos

El equipo de investigación de Proofpoint ha detectado a un nuevo actor de amenazas, al que han denominado como TA2719, que, haciéndose pasar por entidades financieras, fuerzas de seguridad y compañías transportistas, distribuye los troyanos de acceso remoto (RAT) NanoCore y AsyncRAY. Los destinatarios de estas amenazas suelen responder a perfiles fácilmente localizables a través de internet o con direcciones de correo electrónico basadas en roles concretos, sin que el TA2719 muestre especial predilección por elegir a destinatarios individuales como víctimas de sus amenazas.

Mediante el uso de la ingeniería social, y sin ceñirse a un único sector como objetivo, estas campañas están cuidadosamente diseñadas para la región a la que se dirigen y, por ello, emplean diferentes idiomas, entidades de referencia y sus logotipos correspondientes en función del país. Incluso la dirección que aparece en la firma del supuesto remitente parece corresponder a un miembro de la organización suplantada, en caso de que el usuario decida buscar el nombre o la dirección de esa persona antes de realizar cualquier acción.

En estos mensajes suelen aparecer archivos adjuntos que contienen malware, aunque en las primeras campañas se incluían URLs maliciosas como principal mecanismo de entrega. Los asuntos de dichos mensajes apremian a los usuarios a hacer clic en estos archivos o enlaces con motivo de la presunta llegada de un paquete de mensajería, un comunicado policial o una notificación de pago falsos. El TA2719 utiliza también a menudo recursos ampliamente disponibles, como proveedores gratuitos de hosting, para ejecutar sus campañas, lo cual deja patente la facilidad con la que los actores de amenazas pueden iniciar y mantener una operación. Aunque no se trata de señuelos tecnológicamente avanzados, desde Proofpoint aseguran que la fijación del TA2719 por los detalles no hace sino aumentar la sensación de legitimidad, y también efectividad, del mensaje fraudulento entre las posibles víctimas.

“Estas campañas del TA2719 demuestran lo fácil que puede llegar a ser para los actores de amenazas operar en distintos idiomas y, de forma simultánea, hacerse pasar por personas que realmente pertenecen a entidades de confianza para el usuario”, declara Sherrod DeGrippo, directora sénior de Investigación y Detección de Amenazas de Proofpoint.

Proofpoint ha detectado estas amenazas del TA2719 en Austria, Chile, España, Estados Unidos, Grecia, Hungría, Italia, Macedonia del Norte, Países Bajos, Suecia, Taiwán y Uruguay. Por ahora, el volumen de estos ataques ha sido relativamente bajo con varias campañas por mes compuestas de unas docenas o cientos de mensajes, alcanzando su punto más álgido en mayo, a través de un menor número de campañas, pero con más de 2.000 mensajes cada una.