«Nuevo ataque de vecino cercano de GruesomeLarch en Wi-Fi»
Este rincón está escrito por Yuki Yamashita, que dirige el medio web «Seamless», que publica artículos sobre investigaciones en tecnología de vanguardia desde 2014. El Sr. Yamashita recogerá artículos científicos muy novedosos y los explicará.
La empresa estadounidense de ciberseguridad Volexity se ha enterado de que el grupo de hackers ruso GruesomeLarch (también conocido como APT28, Forest Blizzard y Sofacy) ha desarrollado un nuevo método de ataque que explota las redes Wi-Fi que están físicamente cerca del objetivo. El ataque, denominado «Ataque del vecino más cercano», fue descubierto en febrero de 2022, justo antes de que Rusia invadiera Ucrania.
La empresa detectó actividad sospechosa en la red de la organización A objetivo del cliente y comenzó una investigación. La investigación reveló que los atacantes pudieron conectarse con éxito a la red Wi-Fi de la Organización Objetivo A desde varios miles de metros de distancia.
El atacante primero lanzó un ataque de pulverización de contraseñas (un tipo de ataque de fuerza bruta en el que se intenta utilizar la misma contraseña en varias cuentas) en los servicios públicos de la organización objetivo A y obtuvo información de autenticación válida. Estas credenciales no se podían utilizar para servicios públicos porque se implementó la autenticación multifactor (MFA), pero la red Wi-Fi de la organización objetivo A no tenía dicha protección.
La técnica de ataque era sofisticada. El atacante se infiltró en otra organización B, ubicada en las proximidades de la organización objetivo A. Allí, encontraron un dispositivo conectado a una LAN por cable y a Wi-Fi, y utilizaron el adaptador de Wi-Fi del dispositivo para conectarse a la red Wi-Fi de la Organización Objetivo A.
Además, el acceso a la organización B se realizaba desde la red de otra organización cercana C. De esta manera, los atacantes pudieron encadenar conexiones entre múltiples organizaciones vecinas y obtener acceso a sus objetivos finales a miles de metros de distancia.
Este ataque se caracteriza por la adopción de una técnica de «vivir de la tierra» que explota herramientas y funciones de Windows que ya están presentes en el sistema. Esto le permite evitar la detección por parte del software antivirus.
También cabe destacar que, aunque el atacante no pudo infiltrarse en un servicio público que había implementado la autenticación multifactor (MFA), sí pudo infiltrarse internamente a través de una red Wi-Fi sin protección MFA. Al final, los atacantes volvieron a intentarlo a través de la red Wi-Fi para invitados, y también tuvieron éxito.
La identidad del atacante fue identificada como GruesomeLarch en un estudio publicado por Microsoft en abril de 2014. Esta organización estaba trabajando para recopilar información relacionada con Ucrania. De hecho, este ataque fue descubierto justo antes de que Rusia invadiera Ucrania.