Kaspersky destaca la campaña de ciberespionaje PassiveNeuron dirigida a servidores Windows

Desde diciembre de 2024, una campaña de ciberespionaje denominada PassiveNeuron ha estado atacando servidores Windows. ¿Las víctimas? Principalmente agencias gubernamentales, bancos e industrias de Asia, África y Latinoamérica. Este no es el primer intento: tras una pausa de seis meses, la operación se ha reanudado con herramientas aún más sofisticadas.

Kaspersky descubrió esta amenaza, originada por un grupo llamado TA569. Este grupo es conocido por vender acceso a equipos comprometidos, un mercado negro muy real. Los ataques se basan en una gama de malware diseñado para infiltrarse en las redes más profundas de sus sistemas.

La campaña explota vulnerabilidades en sistemas Windows Server, que a menudo sirven como la columna vertebral de las infraestructuras atacadas. El objetivo es claro: espiar, sin ser detectado, obteniendo amplio acceso a datos confidenciales.

Herramientas de PassiveNeuron y cómo funcionan

El arsenal de PassiveNeuron se centra en tres herramientas principales. Dos de ellas son nuevas herramientas previamente desconocidas para los investigadores. La primera, Neursite, es una puerta trasera modular. Analiza el entorno del sistema, puede iniciar o detener procesos y redirigir el tráfico de red para que navegue libremente por la red comprometida.

El segundo se llama NeuralExecutor, un implante basado en la plataforma .NET. Este software permite a los atacantes recibir y ejecutar cargas útiles adicionales en servidores infectados mediante diversos métodos de comunicación con un servidor de control.

Por último, el grupo está explotando Cobalt Strike, un conocido framework de auditoría. Este framework se utiliza a veces para pruebas de penetración, pero también es ampliamente utilizado por los atacantes para realizar intrusiones sigilosas y persistir en los entornos.

Por qué atacar servidores Windows es estratégico para los atacantes.

No andemos con rodeos: los servidores expuestos a internet son objetivos principales para APTs como PassiveNeuron. Una sola máquina comprometida abre la puerta a sistemas críticos. Por eso es crucial reducir la superficie de ataque y vigilar de cerca las aplicaciones del servidor.

Si un administrador cree que puede prescindir de esta monitorización, se llevará una sorpresa desagradable. Estos entornos exigen rigor y vigilancia constante, no solo unas pocas actualizaciones retrasadas. De lo contrario, están expuestos a todo tipo de esquemas de este tipo.

Además, estos ataques no dudan en enturbiar las aguas. Las funciones de código malicioso utilizan caracteres cirílicos para sembrar confusión. Una táctica clásica de desinformación que hace perder el tiempo a los analistas.

Recomendaciones prácticas para evitar ser detectado: Monitorear la amenaza y actuar con rapidez; es la única manera de evitar ser afectado. Los expertos de Kaspersky no se andan con rodeos. Debe proporcionar a su equipo de SOC información sobre amenazas actualizada. El portal Kaspersky Threat Intelligence es un recurso fundamental para ello.

Pero eso no es todo. Capacitar a sus equipos para detectar estas amenazas dirigidas es esencial. Kaspersky ofrece cursos de capacitación en línea, desarrollados por reconocidos expertos, diseñados para abordar esta nueva generación de ataques.

Para una respuesta rápida en caso de ataque, las soluciones EDR como Kaspersky Endpoint Detection and Response son indispensables. Detectan y aíslan incidentes antes de que se intensifiquen.

La protección de la red y la concienciación del equipo son más importantes que nunca. La defensa no se limita a los endpoints. Una plataforma de seguridad de red de nivel empresarial, como Kaspersky Anti Targeted Attack Platform, permite una intervención temprana, antes de que un ataque cause demasiado daño.