El malware DEEPDATA aprovecha una falla no corregida de Fortinet y expone las credenciales de VPN al ciberespionaje
Los investigadores de ciberseguridad han descubierto una nueva amenaza importante dirigida a la VPN FortiClient de Fortinet, lo que pone de relieve las alarmantes capacidades del malware conocido como DEEPDATA. Este sofisticado ataque, atribuido al grupo de amenazas BrazenBamboo, explota una vulnerabilidad de día cero para robar credenciales de VPN confidenciales, lo que deja a las empresas y a los individuos en mayor riesgo de espionaje y robo de datos.
Table of Contents
Cómo DEEPDATA aprovecha la vulnerabilidad de Fortinet
Según ha revelado la empresa de ciberseguridad Volexity, DEEPDATA aprovecha una vulnerabilidad previamente desconocida en FortiClient para Windows para extraer credenciales de VPN directamente de la memoria. Esta falla, notificada a Fortinet en julio de 2024, sigue sin parchearse al momento de escribir este artículo. La vulnerabilidad no solucionada permite a los atacantes explotar el popular software VPN de Fortinet para obtener acceso no autorizado a las redes corporativas, lo que potencialmente permite una mayor infiltración y robo de datos.
En el corazón de DEEPDATA se encuentra un cargador de biblioteca de vínculos dinámicos (DLL), data.dll, que descifra y activa 12 complementos maliciosos a través de un módulo orquestador llamado frame.dll. Un complemento, que apunta específicamente a FortiClient, extrae credenciales de VPN, lo que otorga a los atacantes un punto de apoyo oculto en entornos comprometidos.
DEEPDATA: Un nuevo nivel de espionaje
Las capacidades de DEEPDATA son parte de un conjunto de herramientas más amplio diseñado por BrazenBamboo, un grupo estrechamente vinculado al actor de amenazas APT41 asociado con China. El paquete de malware amplía marcos anteriores como LightSpy, una plataforma de software espía versátil dirigida a macOS, iOS y Windows.
Las características principales de DEEPDATA y sus herramientas relacionadas incluyen :
- Robo de credenciales : captura credenciales de aplicaciones de comunicación populares como WhatsApp, Telegram, Signal y KeePass.
- Exfiltración de datos : recopila detalles del navegador web, contraseñas de aplicaciones, datos de puntos de acceso Wi-Fi e información sobre el software instalado.
- Vigilancia persistente : mantiene acceso sigiloso y a largo plazo a los dispositivos objetivo para un espionaje exhaustivo.
Este malware multifuncional resalta un enfoque meticuloso en las plataformas de comunicación, donde los atacantes priorizan el sigilo y la persistencia para maximizar las oportunidades de recopilación de inteligencia.
DEEPPOST y LightSpy: herramientas complementarias para ataques avanzados
El arsenal cibernético de BrazenBamboo no se detiene en DEEPDATA. Su herramienta DEEPPOST facilita la exfiltración de datos, lo que permite a los atacantes transferir archivos robados a servidores remotos. Mientras tanto, el marco LightSpy, operativo desde 2022, demuestra una modularidad avanzada, empleando complementos especializados para:
- Grabar imágenes de la cámara web.
- Ejecutar comandos a través de un shell remoto.
- Recopila audio, pulsaciones de teclas y datos del navegador.
- Captura imágenes de pantalla e inventaria el software instalado.
La arquitectura de LightSpy para las variantes de Windows, implementada a través de un instalador personalizado, sugiere que su desarrollo es parte de un esfuerzo sistemático y bien financiado para crear herramientas de piratería a medida.
Implicaciones para la ciberseguridad y el espionaje
La superposición de código e infraestructura entre DEEPDATA y LightSpy sugiere que estas familias de malware pueden provenir de empresas privadas contratadas para desarrollar herramientas para actores de estados nacionales. Empresas como Chengdu 404 e I-Soon son ejemplos destacados de organizaciones implicadas en la creación de herramientas cibernéticas ofensivas para uso gubernamental.
El descubrimiento de DEEPDATA pone de relieve la creciente tendencia de los marcos de malware modulares diseñados para capacidades multiplataforma. Este enfoque permite a los actores de amenazas como BrazenBamboo adaptar sus herramientas a varios sistemas operativos y entornos, lo que garantiza la longevidad y la eficacia operativas.
Medidas urgentes de protección
Dado el riesgo constante que plantean DEEPDATA y la vulnerabilidad sin parchear de Fortinet, es fundamental que las organizaciones y los usuarios tomen medidas inmediatas para mitigar el daño potencial:
- Monitorear parches : Manténgase actualizado sobre los parches de seguridad de Fortinet y aplíquelos tan pronto como estén disponibles.
- Mejore la supervisión de la red : implemente soluciones sólidas de detección y respuesta de puntos finales (EDR) para identificar actividad inusual.
- Realizar auditorías de credenciales : cambie periódicamente las credenciales de VPN y controle los intentos de acceso no autorizado.
- Redes de segmentos : limite el acceso a recursos críticos para minimizar el impacto de credenciales comprometidas.
El malware DEEPDATA pone de relieve el alto riesgo que suponen las vulnerabilidades no resueltas en un software de uso generalizado. A medida que los actores de amenazas como BrazenBamboo siguen perfeccionando sus herramientas, las organizaciones deben permanecer alertas, empleando defensas en capas y una gestión proactiva de las vulnerabilidades para contrarrestar las ciberamenazas avanzadas.
El tiempo avanza para solucionar la falla de Fortinet: las empresas y las personas deben actuar rápidamente para proteger sus datos confidenciales y sus activos digitales.
