Se observa que el APT ruso Gamaredon perfecciona la distribución de malware y el ocultamiento de su infraestructura

El grupo de amenazas vinculado al Estado ruso conocido como Gamaredon parece haber mejorado tanto la forma en que carga código malicioso como la manera en que oculta los servidores que sustentan sus operaciones, según informes recientes sobre la campaña.

Gamaredon, que los investigadores de seguridad relacionan con actividades de inteligencia vinculadas al Servicio Federal de Seguridad de Rusia, es conocido desde hace tiempo por atacar organizaciones de interés estratégico. Los últimos cambios sugieren que el grupo continúa evolucionando sus técnicas de ataque de maneras que podrían dificultar la detección y la interrupción de sus operaciones.

Qué ha cambiado

Según los investigadores, la operación se ha vuelto más eficaz a la hora de distribuir su malware, lo que probablemente reduce las posibilidades de que los defensores puedan inspeccionar o bloquear la carga útil antes de que se ejecute. Al mismo tiempo, el grupo está adoptando más medidas para ocultar la infraestructura que utiliza para el mando y control, lo que dificulta identificar los sistemas implicados y desactivarlos rápidamente.

Estos ajustes quizá no representen una renovación completa de la campaña, pero sí indican un esfuerzo constante por mejorar su fiabilidad y capacidad de supervivencia. Para los defensores, esto suele traducirse en ventanas de respuesta más breves y una mayor dependencia de métodos de detección por capas, en lugar de basarse únicamente en firmas.

Por qué es importante

El ocultamiento de la infraestructura puede retrasar los esfuerzos de atribución y desmantelamiento, mientras que unas técnicas más flexibles de carga de malware pueden ayudar a los atacantes a eludir las defensas estáticas. En conjunto, estos cambios pueden aumentar la probabilidad de que una intrusión permanezca activa el tiempo suficiente para recopilar datos, desplazarse lateralmente o preparar acciones posteriores.

Las organizaciones que podrían estar entre los objetivos de Gamaredon deberían revisar sus controles de monitorización y contención, especialmente en lo relativo a la ejecución de scripts sospechosos, las conexiones salientes inusuales y los intentos recurrentes de contactar con servidores externos.

Prioridades defensivas

• Reforzar la monitorización de los endpoints para detectar comportamientos inusuales de procesos y scripts.
• Inspeccionar el tráfico saliente en busca de anomalías y destinos desconocidos.
• Utilizar inteligencia sobre amenazas para rastrear los cambios en la infraestructura vinculada a la campaña.
• Limitar el movimiento de los atacantes mediante la aplicación del principio de mínimo privilegio y la segmentación.

Aunque las últimas actualizaciones del grupo no cambian necesariamente sus objetivos generales, sí demuestran que el atacante continúa adaptándose. Para los defensores, el mensaje es claro: quizá sea necesario actualizar las protecciones existentes para seguir el ritmo de una operación que está mejorando tanto en la distribución como en el ocultamiento.