Los investigadores señalan que el ataque probablemente fue parte de una operación más amplia para robar criptomonedas y credenciales de acceso con una falsa verificación de Google.
Un ciberataque sospechoso que utilizó falsas comprobaciones CAPTCHA para atacar a un organismo gubernamental ucraniano ha sido vinculado a Moscú, según un nuevo informe (fuente en inglés).
PUBLICIDAD
PUBLICIDAD
El gigante tecnológico estadounidense Cisco afirmó que sus expertos en ciberseguridad detectaron en abril actividad inusual en los sistemas informáticos del organismo y sostienen "con confianza moderada" que un actor de amenaza ruso llevó a cabo el ataque.
Los investigadores de Cisco localizaron en el sistema un programa malicioso conocido como Amatera, capaz de robar información sensible.
Según la compañía, también se utilizó para instalar software que podía dar a un atacante acceso al ordenador, con capacidad para inspeccionar archivos, transferir datos y ejecutar comandos.
Cisco comprobó que el software estaba configurado para conectarse a un servidor con una dirección IP situada en Rusia.
El informe no pudo verificar si realmente se sustrajo alguna información del organismo ucraniano, si los piratas informáticos utilizaron de forma activa ese acceso ni cómo se produjo inicialmente la infección del ordenador.
Los investigadores de Cisco, sin embargo, consideraron que formaba parte de una operación más amplia destinada a robar criptomonedas y credenciales.
"No estaba claro qué puso en marcha la cadena de ejecución", señaló el informe.
Las comprobaciones CAPTCHA, usadas como trampa
En el sistema ucraniano, los investigadores de Cisco habían encontrado un archivo malicioso camuflado bajo el nombre "verification.google", pero no pudieron determinar qué había provocado su ejecución.
Para entender cómo pudo iniciarse la infección en Ucrania, rastrearon ataques similares y hallaron otra infección en la que se utilizaba el mismo malware Amatera.
En este caso, la reconstrucción les llevó hasta páginas web comprometidas que mostraban versiones falsas de la comprobación CAPTCHA de Google, utilizada para diferenciar a los visitantes humanos de los bots automatizados.
Pero en lugar de pedir simplemente a los usuarios que marcasen una casilla o identificasen imágenes, esa falsa comprobación les indicaba que abrieran una ventana en su ordenador y pegaran un texto que hacía que se ejecutara el malware.
En esa infección, Amatera también se utilizó para instalar un programa diseñado para robar criptomonedas.
El programa podía monitorizar las direcciones de monederos de criptomonedas que las víctimas copiaban y sustituirlas por direcciones controladas por los atacantes, lo que permitía redirigir los pagos.
Cisco sostiene que las similitudes entre las infecciones sugieren que el ataque contra Ucrania pudo haberse iniciado de la misma manera.
Sin embargo, los investigadores no pudieron confirmar que ambas infecciones comenzaran de igual forma ni que las hubiera ejecutado el mismo grupo.