Una campaña de ciberespionaje está apuntando a expertos en inteligencia artificial que trabajan en la industria privada, el gobierno y el mundo académico, según una alerta de investigadores de la empresa de seguridad Proofpoint. Los atacantes, probablemente de origen chino, están utilizando un troyano de acceso remoto (RAT) llamado SugarGh0st. “El momento de la reciente campaña coincide con un informe de Reuters del 8 de mayo de 2024, según el cual el gobierno de Estados Unidos todavía estaba trabajando para limitar el acceso de China a la IA generativa”. Los investigadores encontraron"La incapacidad de las entidades chinas para acceder a las tecnologías necesarias para desarrollar la IA puede estar incentivando a los actores cibernéticos pro chinos a atacar a individuos que tienen acceso a dicha información para ayudar al país a lograr sus objetivos".
Sin embargo, cabe señalar que Proofpoint no ha vinculado definitivamente la amenaza a un actor de amenazas conocido, y mucho menos a uno patrocinado por un estado, y actualmente está atribuyendo la actividad a un alias temporal UNK_SweetSpecter. SugarGh0st es una versión personalizada de un troyano Gh0stRAT que todavía se utiliza en ataques de muchos grupos chinos. SugarGh0st fue documentado por primera vez por investigadores de Cisco Talos en noviembre de 2023, cuando se utilizó contra objetivos gubernamentales en Uzbekistán y Corea del Sur. En ese momento, el equipo de Talos atribuyó estos ataques, con poca confianza, a un actor de amenazas de habla china, debido a los artefactos en idioma chino presentes en el código del troyano. Según Proofpoint, estos artefactos todavía están presentes en las muestras utilizadas en esta nueva campaña contra los expertos en inteligencia artificial y la cadena de infección es similar a la utilizada en el ataque de noviembre.
El phishing como punto de acceso inicial
Las víctimas son atacadas mediante un correo electrónico con el asunto AI, en el que los atacantes se hacen pasar por usuarios de una herramienta con la que las víctimas están familiarizadas y les piden ayuda para resolver un problema. Los correos electrónicos contenían un archivo ZIP malicioso que contenía un archivo .LNK (acceso directo de Windows). Los archivos LNK se utilizan a menudo para distribuir malware porque son capaces de ejecutar comandos de shell. En este caso, el archivo LNK contiene parámetros de línea de comandos que ejecutan código JavaScript que actúa como un gotero de malware.
Un dropper es un programa o script que se utiliza para “dejar caer” cargas útiles adicionales en un sistema, ya sea descifrando su código almacenado en un archivo existente o descargando las cargas útiles desde una ubicación remota. “El dropper de JavaScript contenía un documento señuelo, una herramienta ActiveX que se registró y luego se utilizó de forma abusiva para la carga lateral, y un binario cifrado, todo codificado en base64”, explicaron los investigadores de Proofpoint. “Mientras se mostraba el documento señuelo al destinatario, el dropper de JavaScript instalaba la biblioteca, que se utilizaba para ejecutar las API de Windows directamente desde JavaScript”. El dropper de JavaScript se basa en la biblioteca ActiveX para ejecutar el código shell en el sistema para crear una entrada de registro de inicio llamada CTFM0N.exe y cargar de forma reflexiva el binario SugarGh0st en la memoria.
Una RAT para ataques altamente específicos
El RAT SugarGh0st se conecta a un servidor de comando y control remoto (C2) diferente al utilizado en noviembre. Recopila información sobre el sistema infectado y lanza un shell inverso que permite a los atacantes acceder al sistema y ejecutar comandos. Todas las campañas de ataque basadas en SugarGh0st rastreadas por Proofpoint desde noviembre parecen estar muy dirigidas. Entre los objetivos se incluyen una empresa de telecomunicaciones estadounidense, un medio de comunicación internacional, una organización gubernamental del sur de Asia y, ahora, una docena de personas con vínculos con una importante entidad de inteligencia artificial con sede en Estados Unidos.
“Si bien Proofpoint no puede atribuir definitivamente estas campañas a ningún estado en particular, el tema del señuelo de hacer referencia específica a una herramienta de IA, la focalización en expertos en IA, la solicitud de conectarse con “personal técnico”, el interés en un software específico y la naturaleza altamente específica de esta campaña son notables”, dijeron los investigadores. “Es probable que el objetivo del actor fuera obtener información no pública sobre la IA generativa”. El informe de Proofpoint incluye indicadores de compromiso en forma de hashes de archivos, URL y direcciones IP utilizadas en la campaña, así como firmas de detección.
Otras noticias que te pueden interesar