TAG-100: Nuevo Actor de Amenazas Usa Herramientas de Código Abierto

El campo de ciberseguridad esta lleno de retos nuevos y sorprendentes cada día. Entre estos desafíos, recientemente ha surgido un grupo de hackers conocido temporalmente como TAG-100. Lo que hace a TAG-100 especialmente preocupante es su uso de herramientas de código abierto para llevar a cabo ataques cibernéticos a gran escala. Estas herramientas, que muchos desarrolladores utilizan para crear y probar software, están siendo aprovechadas de manera maliciosa. 

¿Quién es TAG-100?

Recientemente, se ha detectado una alarmante actividad cibernética que implica a actores de amenazas desconocidos (nombrados temporalmente TAG-100) utilizando herramientas de código abierto. Esta presunta campaña de espionaje cibernético tiene como objetivo tanto a organizaciones gubernamentales como del sector privado en todo el mundo. La sofisticación de estos ataques y la elección de herramientas de código abierto destacan la creciente adaptabilidad y recursos de estos actores malintencionados.

Las investigaciones revelan que estas actividades han comprometido organizaciones en al menos diez países, abarcando continentes como África, Asia, América del Norte, América del Sur y Oceanía. Entre los objetivos se encuentran dos organizaciones intergubernamentales en la región de Asia y el Pacífico, que han sido afectadas por esta campaña de espionaje.

Desde febrero de 2024, se ha observado que las entidades más afectadas incluyen:

1. Entidades Diplomáticas y Gubernamentales: Los actores de amenazas han dirigido sus esfuerzos hacia embajadas y ministerios, intentando obtener información sensible y confidencial.
   
   
2. Cadena de Suministro de Semiconductores: Empresas involucradas en la producción y distribución de semiconductores han sido blanco, probablemente debido a la información crítica que manejan y su importancia en la tecnología global.
   
   
3. Organizaciones Sin Fines de Lucro y Religiosas: Estas entidades han sido atacadas con la intención de obtener información sobre sus actividades y posiblemente influir en sus operaciones.

Conoce más sobre:  Protegiendo la Cadena de Suministro: Principales Ataques

Países Afectados

Entre los países que han sido blanco de esta campaña de espionaje se encuentran:

1. Asia y el Pacífico: Camboya, Indonesia, Taiwán y Fiji.
   
   
2. África: Yibuti.
   
   
3. América del Norte y del Sur: República Dominicana, Estados Unidos.
   
   
4. Europa: Países Bajos, Reino Unido.
   
   
5. Oceanía: Fiyi.

Te podrá interesar leer: ¿Cómo Evitar que Vuelvan a Hackear tu Empresa?

Métodos de Ataque de TAG-100

TAG-100 se distingue por su uso de herramientas de código abierto como Pantegana y Spark RAT, ambas escritas en Go, para establecer puertas traseras en los sistemas comprometidos. Estas herramientas permiten a los atacantes mantener el acceso persistente y ejecutar comandos de forma remota en los dispositivos afectados.

Herramientas de Código Abierto Utilizadas:

1. Pantegana: Una puerta trasera de código abierto que ofrece capacidades avanzadas de acceso remoto.
   
   
2. Spark RAT: Un Remote Access Trojan (RAT) que permite a los atacantes controlar los dispositivos infectados de manera remota.

Podría interesarte leer:  Troyanos de Acceso Remoto: Software Malicioso (RAT)

Cadenas de Ataque

Las cadenas de ataque de TAG-100 comienzan con la explotación de vulnerabilidades conocidas en dispositivos conectados a Internet. Algunos de los productos más afectados incluyen:

1. Citrix NetScaler
   
   
2. F5 BIG-IP
   
   
3. Zimbra
   
   
4. Microsoft Exchange Server
   
   
5. SonicWall
   
   
6. Cisco Adaptive Security Appliances (ASA)
   
   
7. Palo Alto Networks GlobalProtect
   
   
8. Fortinet FortiGate

Estas vulnerabilidades permiten a TAG-100 obtener un acceso inicial a las redes objetivo, tras lo cual implementan Pantegana, Spark RAT y Cobalt Strike Beacon en los hosts comprometidos para mantener el control y facilitar actividades maliciosas adicionales.

Actividades de Reconocimiento

TAG-100 realiza amplias actividades de reconocimiento dirigidas a dispositivos conectados a Internet de organizaciones en al menos quince países, incluidos: Cuba, Francia, Italia, Japón y Malasia.

Además, se ha observado que el grupo se enfoca en embajadas cubanas en países como Bolivia, Francia y Estados Unidos, demostrando su interés en entidades diplomáticas y gubernamentales.

El 16 de abril de 2024, TAG-100 llevó a cabo actividades de reconocimiento y explotación específicamente dirigidas a los dispositivos GlobalProtect de Palo Alto Networks. Esta actividad coincidió con el lanzamiento público de un exploit de prueba de concepto (PoC) para CVE-2024-3400, una vulnerabilidad crítica con un puntaje CVSS de 10.0 que permite la ejecución remota de código en firewalls GlobalProtect.

Conoce más sobre:  Identificando vulnerabilidades: El poder de las CVE

Implicaciones y Desafíos de Seguridad

El uso de exploits PoC combinados con programas de código abierto permite a TAG-100 reducir la barrera de entrada para actores de amenazas menos sofisticados. Además, estas técnicas dificultan la atribución y ayudan a los atacantes a evadir la detección.

La persecución generalizada de dispositivos conectados a Internet es especialmente preocupante porque estos productos a menudo tienen visibilidad limitada y capacidades de registro insuficientes. Esto reduce significativamente el riesgo de detección posterior a la explotación, proporcionando a los atacantes un punto de apoyo estable dentro de las redes atacadas.

Recomendaciones de Seguridad

Para mitigar las amenazas planteadas por TAG-100, las organizaciones deben adoptar una serie de medidas de seguridad:

1. Mantener los Sistemas Actualizados: Asegúrate de que todos los dispositivos y software estén actualizados con los últimos parches de seguridad.
   
   
2. Implementar Autenticación Multifactor (MFA): MFA añade una capa adicional de protección, dificultando el acceso no autorizado.
   
   
3. Monitoreo Continuo: Utiliza herramientas avanzadas de monitoreo y detección de intrusiones para identificar actividades sospechosas.
   
   
4. Capacitación de Empleados: Educar al personal sobre prácticas de seguridad cibernética puede ayudar a prevenir ataques de ingeniería social y phishing.
   
   
5. Realizar Auditorías de Seguridad: Llevar a cabo auditorías periódicas de seguridad para identificar y mitigar posibles vulnerabilidades.

Conclusión

TAG-100 representa una amenaza significativa debido a su uso estratégico de herramientas de código abierto y la explotación de vulnerabilidades en dispositivos conectados a Internet. Las organizaciones deben estar vigilantes y proactivas en la implementación de medidas de seguridad robustas para proteger sus redes y datos contra este tipo de ataques sofisticados. 

Con el SOC de TecnetOne, puedes monitorear tus redes y proteger tus datos de manera eficiente. Nuestro equipo de expertos en ciberseguridad utiliza las últimas tecnologías para detectar y mitigar amenazas en tiempo real, asegurando la integridad de tu infraestructura digital. Con nuestro SOC as a Service, tendrás la tranquilidad de saber que tus sistemas están bajo una vigilancia constante y proactiva, permitiéndote centrarte en tu negocio mientras nosotros nos encargamos de la seguridad.