Kaspersky detecta la campaña de ciberataques StrikeShark en América Latina

El Equipo Global de Investigación y Análisis (GReAT) de la empresa de ciberseguridad Kaspersky descubrió una nueva operación maliciosa denominada StrikeShark. Esta campaña afecta a organismos gubernamentales, entidades diplomáticas y empresas de desarrollo de software en América Latina, Asia y Europa. Los atacantes emplean un programa malicioso inédito llamado SharkLoader para vulnerar la seguridad de las redes corporativas sin generar alertas tempranas.

La compañía continúa analizando la infraestructura del ataque y hasta el momento no atribuye la operación a ningún grupo conocido de amenazas persistentes avanzadas (APT). Entre los países con infraestructuras comprometidas se encuentran Colombia, Taiwán, Indonesia, Hong Kong, Líbano, Siria, Macedonia del Norte, Nepal y Serbia.

Vectores de infección y técnicas de evasión de seguridad

Los ciberdelincuentes utilizan diversos vectores para ingresar a las redes de las organizaciones objetivo. En primer lugar, explotan vulnerabilidades conocidas en aplicaciones expuestas a internet, tales como los servidores Microsoft Exchange, Microsoft SharePoint y Openfire. En segundo lugar, distribuyen programas de descarga maliciosos (droppers) camuflados como instaladores legítimos de Google Update o Cisco AnyConnect. Adicionalmente, el equipo de investigación detectó el uso de documentos en formato PDF diseñados para engañar a los usuarios y lograr la ejecución del código malicioso.

La arquitectura técnica de SharkLoader demuestra un alto nivel de sofisticación diseñado para eludir las defensas tradicionales de los sistemas operativos. Una vez concretado el acceso inicial, el código malicioso ejecuta los siguientes pasos estratégicos:

• Ejecuta el método DLL side-loading, aprovechando aplicaciones legítimas de Windows para cargar módulos cifrados sin levantar sospechas.
• Descifra componentes adicionales en la memoria del sistema para evadir la detección antivirus.
• Instala ganchos de interfaz de programación de aplicaciones (API hooks), alterando las funciones internas del sistema operativo para neutralizar las herramientas de monitoreo.
• Despliega la herramienta Cobalt Strike Beacon como etapa final del ataque, permitiendo el control remoto del equipo afectado.

A través de esta herramienta de pruebas de penetración manipulada, los atacantes logran realizar reconocimiento de la red, desplazarse lateralmente entre servidores y extraer información confidencial de las instituciones afectadas.

Recomendaciones para la protección de las organizaciones

María Isabel Manjarrez, analista de seguridad para América Latina en el equipo GReAT de Kaspersky, señaló que la campaña StrikeShark demuestra la evolución del panorama de ciberamenazas. La especialista explicó que los delincuentes combinan herramientas de ataque de acceso público con código desarrollado a la medida para evadir la detección. Por lo tanto, la vulneración de aplicaciones conocidas resalta la necesidad de mantener esquemas rigurosos de actualización y supervisión técnica constante.

Para mitigar los riesgos asociados a esta y otras campañas avanzadas, los especialistas de Kaspersky recomiendan implementar las siguientes medidas preventivas:

• Actualizar de forma prioritaria todos los sistemas operativos y aplicaciones para corregir vulnerabilidades antes de su explotación.
• Instalar soluciones de seguridad corporativa capaces de identificar y bloquear programas de descarga maliciosos de manera previa a su ejecución.
• Capacitar continuamente al personal de la organización para reducir la efectividad de las tácticas de ingeniería social.
• Proteger los dispositivos finales con herramientas de detección y respuesta en endpoints (EDR) que detengan las amenazas en las fases iniciales del ataque.
• Contratar servicios de inteligencia de amenazas para acceder a bases de conocimiento globales que permitan anticipar ataques emergentes.