Un reporte informó como atacantes cibernéticos los cuales parecen estar vinculados al gobierno chino se infiltraron en al menos 10 operadoras de telecomunicaciones globales durante varios años, lo que involucra el robo de información confidencial en millones de clientes.
Existe una alta probabilidad de que el responsable corresponda al grupo de amenazas APT10, quien trató de tomar datos de las compañías telefónicas, dirigido a individuos específicos. La brecha involucró el uso de herramientas y técnicas utilizadas por la banda.
En al menos un caso, los atacantes obtuvieron acceso a los últimos siete años, aumentando la penetración y, finalmente, alcanzando todos los niveles de acceso de la víctima. El presunto ataque, cuyo nombre en código es Operation Soft Cell, se produce cuando las listas negras de los principales compañías de tecnología chinas de los EE.UU. se basan en sospechas de que estas ayudan al gobierno actividades de espionaje.
Los atacantes, en varias oportunidades, han podido asumir un control sin restricciones sobre los sistemas de TI de los proveedores, instalando sus propias redes privadas virtuales para que puedan filtrar los datos a través de “túneles” encriptados. Esto les permite acceder de forma encubierta a los registros de detalles de llamadas de las bases de clientes completas de las redes afectadas.
Para llevar a cabo el ataque, los cibercriminales actuaron en diversas oleadas, abandonando la actividad cuando eran detectados o detenidos para luego volver a efectuar el ataque meses después con nuevas técnicas y herramientas.
Los ataques se llevan a cabo utilizando Poison Ivy, un troyano de acceso remoto atribuido a grupos de amenazas chinos. El indicador inicial del ataque fue la actividad malintencionada de un webshell realizada por w3wp.exe, un proceso de IIS (Internet Information Services, servidor web de Microsoft). Una investigación del webshell, que luego se clasificó como el webshell "China Chopper", con varias fases de ataque y TTPs (Tactics, Techniques and Procedures). Los atacantes pudieron aprovechar el shell web para ejecutar comandos de reconocimiento y así, robar credenciales.
REFERENCIA
https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers
COMENTARIOS