El grupo de hackers NightEagle, también conocido como APT-Q-95, ha ampliado sus operaciones y ha comenzado a poner en su punto de mira en empresas rusas. Así lo asegura una investigación de Kaspersky, que ha analizado varios incidentes relacionados con este grupo durante el último año.
El grupo de amenazas persistentes avanzadas lleva activo al menos desde 2023, aunque no se hizo público hasta julio del año pasado. Fue entonces cuando los investigadores de la compañía china de ciberseguridad QiAnXin dieron a conocer una campaña que habían identificado como APT-Q-95. Según sus análisis, detrás de ella había una banda especializada en ciberespionaje que llevaba tiempo atacando organizaciones tecnológicas y de defensa en China.
QiAnXin bautizó posteriormente a este actor como NightEagle. El nombre hace referencia a dos características de sus operaciones: los ataques solían producirse durante la noche, tomando como referencia la hora del país oriental, y los responsables cambiaban con frecuencia la infraestructura que utilizaban para conectarse a sus víctimas. De esta manera, resultaba más complicado seguir su rastro.
Ahora, Kaspersky ha detectado su actividad en empresas rusas, aunque no ha revelado cuáles ni cuántas se han visto afectadas. En los casos analizados, los atacantes accedieron a las redes mediante credenciales robadas y conexiones VPN.
Una vez dentro, comprometieron servidores Exchange e instalaron GhostContainer, una puerta trasera que permite controlar los sistemas a distancia, ocultar parte de la actividad y redirigir el tráfico. Los investigadores sospechan que aprovecharon una técnica ya empleada anteriormente por el grupo para ejecutar el código malicioso directamente en la memoria del servidor.
Para pasar inadvertidos, también alojaron herramientas en GitHub bajo nombres que imitaban programas legítimos, como AdobeSync o TrueConf. Después se centraron en Active Directory, la infraestructura que administra usuarios, equipos y permisos dentro de una compañía. El propósito era elevar privilegios, robar nuevas credenciales y avanzar por la red hasta alcanzar los controladores de dominio, desde donde podían obtener un control mucho más amplio.
¿Es un APT estadounidense?
La firma de ciberseguridad considera que esta evolución refleja un cambio en el alcance de NightEagle, que ha comenzado a llevar sus operaciones más allá de Asia. Sin embargo, todavía se desconoce quién está detrás del colectivo y cuál es su motivación.
Investigadores chinos lo habían relacionado anteriormente con Norteamérica, aunque esa atribución no ha sido corroborada de forma independiente.
Acerca del autor
