Campaña de Hackeo Selectivo 'Bitter-Linked' Apunta a Periodistas en Oriente Medio y Norte de África
Una campaña de hackeo selectivo, presuntamente orquestada por un grupo con vínculos con el gobierno indio, ha puesto en la mira a periodistas, activistas y funcionarios gubernamentales en la región de Oriente Medio y Norte de África (MENA). El objetivo: comprometer sus cuentas en línea.
Cómo funciona el ataque
Los ataques, del tipo spear-phishing (correos o mensajes engañosos dirigidos a personas específicas), buscan robar las credenciales de acceso a cuentas de Apple y Google. Los atacantes envían enlaces a páginas falsas que imitan los sitios de inicio de sesión de estos servicios. Cuando la víctima introduce su nombre de usuario, contraseña y códigos de autenticación de dos factores (2FA), estos datos caen en manos de los hackers.
- En algunos casos, los atacantes se hacen pasar por reclutadores en LinkedIn para establecer contacto con sus objetivos.
- También se han utilizado mensajes a través de iMessage (Apple Messenger) y WhatsApp, simulando ser soporte técnico de Apple.
- Además de Apple y Google, se ha detectado que plataformas como Telegram y Signal también podrían estar en la mira.
- Un ataque detectado usaba el sistema OAuth 2.0 de Google, que permite dar permisos a aplicaciones para acceder a la cuenta, pero de forma maliciosa, para engañar a la víctima.
Algunos de los dominios (direcciones web) utilizados en estos ataques de phishing son:
- signin-apple.com-en-uk[.]co
- id-apple.com-en[.]io
- facetime.com-en[.]io
- secure-signal.com-en[.]io
- telegram.com-en[.]io
- verify-apple.com-ae[.]net
- join-facetime.com-ae[.]net
- android.com-ae[.]net
- encryption-plug-in-signal.com-ae[.]net
A quién afecta
Entre las víctimas se encuentran periodistas egipcios críticos con el gobierno, como Mostafa Al-A'sar y Ahmed Eltantawy. También se identificó a un periodista anónimo libanés como objetivo de estos ataques. La campaña parece tener un alcance regional, extendiéndose más allá de Egipto y Líbano, potencialmente alcanzando a personas en Bahréin, los Emiratos Árabes Unidos, Arabia Saudita, el Reino Unido e incluso Estados Unidos.
Relación con el grupo Bitter y el spyware ProSpy
La empresa de ciberseguridad Lookout ha relacionado estos ataques con un grupo llamado Bitter, sospechoso de realizar actividades de espionaje en nombre del gobierno indio. La conexión se basa en similitudes en la infraestructura utilizada y en la relación con un malware (software malicioso) llamado ProSpy, un tipo de spyware (programa espía) que roba datos sensibles de los dispositivos infectados, como contactos, mensajes SMS y archivos.
Qué significa esto para ti
Esta campaña demuestra que los periodistas y activistas, especialmente en regiones con tensiones políticas, son un blanco constante de ciberataques. Es crucial estar alerta ante mensajes sospechosos, verificar la autenticidad de los enlaces antes de hacer clic y habilitar la autenticación de dos factores en todas las cuentas importantes. La vigilancia constante es la mejor defensa contra estas amenazas.
