Hispanopedia WikiCareto (del argot español "cara"), a veces llamadoLa Máscara, es unmalwaredescubierto porKaspersky Laben 2014. Debido a su alto nivel de sofisticación y profesionalismo, y a una lista de objetivos que incluía oficinas diplomáticas y embajadas, se cree que Careto es obra de un estado nación.[1]Kaspersky cree que los creadores del malware eran hispanohablantes.[1]
Debido al enfoque en las víctimas de habla hispana, el fuerte ataque a Marruecos y el ataque a Gibraltar , Bruce Schneier especula que Careto es operado por España . [2]
Carga útil
Careto normalmente instala un segundo programa de puerta trasera más complejo llamado SGH. SGH es fácilmente modificable y también tiene un arsenal más amplio que incluye la capacidad de interceptar eventos del sistema, operaciones de archivos y realizar una gama más amplia de funciones de vigilancia. [3] La información recopilada por SGH y Careto puede incluir claves de cifrado , configuraciones de red privada virtual y claves SSH y otros canales de comunicación. [4]
Detección y eliminación
Careto es difícil de descubrir y eliminar debido a su uso de capacidades ocultas . Además, la mayoría de las muestras han sido firmadas digitalmente . Las firmas son emitidas por una empresa búlgara, TecSystem Ltd., pero se desconoce la autenticidad de la empresa. Uno de los certificados emitidos fue válido entre el 28 de junio de 2011 y el 28 de junio de 2013. Otro fue válido desde el 18 de abril de 2013 hasta el 18 de julio de 2016, pero fue revocado por Verisign . [5]
Careto fue descubierto cuando intentó eludir los productos de seguridad de Kaspersky . [6] Cuando se descubrió que Careto intentaba explotar su software, Kaspersky comenzó a investigar más a fondo. Como parte de la recopilación de estadísticas, se colocaron múltiples sumideros en los servidores de comando y control. [5]
Actualmente, el software antivirus más actualizado puede descubrir y eliminar con éxito el malware.
Distribución
Al investigar los servidores de comando y control, los descubrimientos mostraron que más de 380 víctimas estaban infectadas. Según la información que se ha descubierto, las víctimas se infectaron con el malware al hacer clic en un enlace de phishing que redirigía a sitios web que tenían software que Careto podía explotar, como Adobe Flash Player . Desde entonces, el reproductor ha sido parcheado y Careto ya no puede explotarlo. Los sitios web que contenían el software explotable tenían nombres similares a periódicos populares, como The Washington Post y The Independent . [7]
Se dice que el malware tiene múltiples puertas traseras para Linux , Mac OS X y Windows . Se descubrió evidencia de un posible cuarto tipo de puerta trasera para Android e iOS en los servidores C&C, pero no se encontraron muestras. [3]
Se estima que Careto se remonta a 2007. Ahora se sabe que los ataques cesaron en enero de 2014. [5]
Referencias
- ^ ab «Kaspersky Lab descubre "La Máscara": una de las operaciones de ciberespionaje más avanzadas a nivel mundial hasta la fecha debido a la complejidad del conjunto de herramientas utilizadas por los atacantes, 11 de febrero de 2014». Archivado desde el original el 21 de febrero de 2014 . Consultado el 11 de febrero de 2014 .
- ^ "El malware de espionaje "The Mask" - Schneier sobre seguridad". schneier.com .
- ^ ab Lucian Constantin (11 de febrero de 2014). "Desvelando 'The Mask': malware sofisticado que se propagó sin control durante 7 años". PCWorld .
- ^ "Kaspersky Lab descubre "La Máscara": una de las operaciones de ciberespionaje más avanzadas a nivel mundial hasta la fecha debido a la complejidad del conjunto de herramientas utilizadas por los atacantes". Archivado desde el original el 21 de febrero de 2014. Consultado el 11 de febrero de 2014 .
- ^ abc "La APT Careto/Mask: Preguntas frecuentes". 10 de febrero de 2014.
- ^ "Securelist". 10 de febrero de 2014. Consultado el 3 de abril de 2015 .
- ^ "Desvelando 'The Mask': malware sofisticado que se propagó sin control durante 7 años". Pcworld . Consultado el 2 de abril de 2015 .