El método de infección utilizado en la "Operación octubre rojo"

Fuente: KasperskyLab. http://www.securelist.com/en/images/pictures/klblog/208194085.png.

El martes pasado nos enterábamos de "Octubre Rojo" uno de los ciberataques más significativos jamás descubiertos.

La empresa de seguridad Kaspersky Labs informó que el malware detectado "atacó instituciones gubernamentales de diferentes países tales como embajadas, centros de investigación nuclear y organismos vinculados a la explotación de gas y petróleo. El software maligno estaba diseñado para robar archivos cifrados e incluso fue capaz de recuperar aquellos que habían sido borrados".

Leyendo el servicio de noticias y análisis sobre seguridad de Hispasec, nos informamos del método de infección utilizado:

El principal método de infección viene por adjuntos en el email aprovechando vulnerabilidades en Office CVE-2009-3129 (Excel), CVE-2010-3333 y CVE-2012-0158 (ambas de Word). Los atacantes tomaron unos documentos previamente creados por una campaña de infección china. Modificaron el payload y los enviaron a sus víctimas. El texto de los documentos no fue personalizado. Sin embargo, los diplomáticos, embajadores y víctima en general quedaron infectados porque:

• Abrieron un documento que probablemente no habían solicitado.
• Sus Office no se encontraban parcheados contra estas vulnerabilidades.
• No tomaron otras medidas que, aunque no hubiese existido parche para esas vulnerabilidades, permitieran mitigar el impacto de las vulnerabilidades.

Se destaca en el informe que los antivirus no lo detectaron y el malware se camufla como una especie de plugin para Office que se lanza cada vez que se abre un documento.

Salta a la vista que los atacantes se aprovechan del desconocimiento y la ausencia de preocupación por la seguridad de sus "víctimas". La oportunidad del ciberdelincuente.

Fuentes:

• The "Red October" Campaign - An Advanced Cyber Espionage Network Targeting Diplomatic and Government Agencies. Securelist - Kaspersky Lab Expert.
• Operación octubre rojo: un malware muy "personal" (I). Una al día - Hispasec.
• Operación octubre rojo: un malware muy "personal" (y II). Una al día - Hispasec.

Post relacionados:

• "Octubre Rojo" uno de los ciberataques más significativos jamás descubiertos. 15/01/2013.
• La oportunidad del ciberdelincuente. 15/01/2013.