CERT Ucrania: cuidado con las actualizaciones falsas de Windows distribuidas a través de correos electrónicos de dominio de Microsoft Outlook

El Equipo de Respuesta a Emergencias Informáticas (CERT) de Ucrania emitió una advertencia sobre una campaña maliciosa que distribuye actualizaciones falsas de Windows a través de correos electrónicos. Estos correos electrónicos falsos son obviamente maliciosos y están dirigidos a funcionarios de Ucrania. CERT señala que los actores de amenazas están utilizando el dominio Outlook.com para parecer legítimos y el tema de estos correos electrónicos generalmente se etiqueta como «Actualización de Windows», que es una forma de simplificar las cosas. CERT agrega que la campaña está siendo llevada a cabo por el grupo APT28, que está clasificado como un grupo de malware de amenazas persistentes avanzadas de Rusia. También es conocido por otros nombres como Fancy Bear, Pawn Storm, entre otros.

En su boletín, el CERT explica (traducido por Google al inglés):

Durante abril de 2023, el equipo de respuesta a emergencias informáticas del gobierno de Ucrania CERT-UA registró casos de distribución de correos electrónicos con el asunto “Actualización de Windows” entre organismos gubernamentales de Ucrania, enviados, aparentemente, en nombre de los administradores de sistemas de los departamentos. Al mismo tiempo, las direcciones de correo electrónico de los remitentes creados en el servicio público «@outlook.com» se pueden formar utilizando el apellido y las iniciales reales del empleado.

En caso de que se pregunte cómo los actores de amenazas entregan la carga útil, CERT explica que el correo electrónico falso básicamente describe las instrucciones necesarias para que el ataque sea exitoso. Se proporcionan imágenes ( ver aquí ) para ayudar a las víctimas a instalar el malware en sus propios sistemas. Esto se hace usando el comando PowerShell que descarga además un script que está «diseñado para recopilar información básica sobre la computadora usando los comandos ‘lista de tareas’, ‘info del sistema’, y envía los resultados recibidos usando una solicitud HTTP a la API del servicio Mocky». la campaña se basa esencialmente en la ingenuidad de las propias víctimas potenciales para infectar sus sistemas.

Puede encontrar el anuncio oficial del CERT aquí .