Puerta trasera WINELOADER implementada contra objetivos alemanes
Los actores de amenazas afiliados a Rusia han implementado la puerta trasera WINELOADER en recientes ataques cibernéticos dirigidos a organizaciones políticas alemanas. A finales de febrero de 2024, investigadores de Mandiant identificaron que el grupo APT29, asociado a Rusia, utilizaba una versión modificada de la puerta trasera WINELOADER para apuntar a los partidos políticos alemanes, empleando un señuelo con el tema de la Unión Demócrata Cristiana (CDU).
Esta es la primera vez que Mandiant observa que el subgrupo APT29 dirige sus esfuerzos hacia entidades políticas, lo que indica un interés creciente más allá de su enfoque habitual en las misiones diplomáticas. Los grupos objetivo recibieron correos electrónicos de phishing, escritos en alemán, que pretendían ser invitaciones a una cena el 1 de marzo, con el logotipo de la CDU. Estos correos electrónicos contenían un enlace que conducía a un archivo ZIP malicioso alojado en un sitio web comprometido.
Dentro del archivo ZIP había un cuentagotas ROOTSAW, utilizado para desplegar un documento señuelo de segunda etapa también relacionado con la CDU, junto con una carga útil WINELOADER recuperada del sitio "waterforvoiceless[.]org/util.php". La puerta trasera WINELOADER cuenta con múltiples características y funciones que se superponen con otros malware en el arsenal de APT29, como BURNTBATTER, MUSKYBEAT y BEATDROP, lo que indica un probable origen común.
Vector de ataque y método de infiltración de WINELOADER
WINELOADER se inicia mediante la carga lateral de DLL en un ejecutable legítimo de Windows, seguido del descifrado de la lógica principal del implante utilizando RC4. Zscaler ThreatLabz identificó inicialmente a WINELOADER en febrero de 2023 y atribuyó la campaña a una APT conocida como SPIKEDWINE.
Zscaler advirtió que se había observado que SPIKEDWINE, un actor de amenazas no identificado previamente, atacaba a funcionarios europeos. Los ciberespías utilizaron un documento PDF de cebo disfrazado de carta de invitación del Embajador de la India, invitando a diplomáticos a una cata de vinos en febrero de 2024.
La campaña se caracteriza por su bajo volumen y la utilización de tácticas, técnicas y procedimientos (TTP) avanzados por parte de los actores de amenazas. El informe concluye que, basándose en el mandato del SVR de recopilar inteligencia política y los patrones históricos de ataques de este grupo APT29, esta actividad representa una amenaza significativa para los partidos políticos europeos y otros occidentales en todo el espectro político.
