APT28 usa BadPaw y MeowMeow para atacar objetivos ucranianos
Investigadores de ciberseguridad han descubierto una nueva campaña rusa dirigida a entidades ucranianas, utilizando dos programas maliciosos (malware) nunca antes vistos: BadPaw y MeowMeow. Este ataque, que se sospecha está relacionado con el grupo APT28 (un grupo de hackers con vínculos al gobierno ruso), empieza con un correo electrónico engañoso (phishing) y termina instalando un programa espía en los equipos de las víctimas. Esto es importante porque muestra cómo los ciberataques siguen siendo una amenaza constante, especialmente en el contexto geopolítico actual.
Cómo funciona el ataque
El ataque se desarrolla en varias etapas:
- Correo de phishing: La víctima recibe un correo electrónico que parece legítimo, enviado desde una cuenta de ukr[.]net (un servicio de correo ucraniano). Este correo contiene un enlace a un archivo ZIP.
- Redirección y descarga: Al hacer clic en el enlace, la víctima es redirigida a una página que carga una imagen muy pequeña, un "pixel de seguimiento", para confirmar que el enlace fue abierto. Luego, se descarga el archivo ZIP malicioso.
- Documento señuelo: Dentro del ZIP hay un archivo HTA (HTML Application) que muestra un documento falso en ucraniano sobre trámites fronterizos, para distraer a la víctima mientras el malware se instala en segundo plano.
- Instalación de BadPaw: El archivo HTA instala un programa llamado BadPaw, que se comunica con un servidor remoto para descargar el malware principal, MeowMeow.
Qué hacen BadPaw y MeowMeow
- BadPaw: Es un "cargador" que prepara el terreno para la instalación de MeowMeow. Si se ejecuta solo, muestra una imagen de un gato y un botón que dice "Meow Meow Meow", como una forma de engañar a los analistas de seguridad.
- MeowMeow: Es un programa espía (backdoor) que permite a los atacantes controlar el equipo de forma remota. Puede ejecutar comandos de PowerShell (una herramienta de administración de Windows) y manipular archivos.
A quién afecta
Esta campaña se dirige específicamente a entidades ucranianas. Los atacantes utilizan temas relacionados con la situación en la frontera para engañar a sus víctimas. Los investigadores creen que APT28 está detrás de este ataque por el tipo de objetivos, los señuelos utilizados y las tácticas similares a las de otras operaciones cibernéticas rusas.
Qué significa esto para ti
Si eres usuario en Ucrania, debes estar especialmente atento a los correos electrónicos sospechosos, especialmente aquellos que provienen de remitentes desconocidos o que te pidan que descargues archivos. Desconfía de los archivos ZIP adjuntos y, si tienes dudas, verifica la legitimidad del remitente por otro medio. Para empresas, es fundamental tener sistemas de detección de intrusiones y formar a los empleados sobre cómo identificar correos de phishing.
