Malware CosmicDuke (el "nuevo" MiniDuke)

DEFINICIÓN DEL VIRUS

¿Cuál es?

Descubierto en 2014, CosmicDuke utiliza los implantes del antiguo MiniDuke de 2013 que aún existen y se utilizan en campañas activas dirigidas a los gobiernos y a otras instituciones. Tras la exposición de 2013, el actor detrás de MiniDuke comenzó a utilizar otro backdoor (puerta trasera) personalizado. El "nuevo" y principal backdoor de MiniDuke (también conocido como TinyBaron o CosmicDuke) es capaz de robar distintos tipos de información.

Aunque el actor de APT Miniduke detuvo su campaña o, al menos, redujo su intensidad, a comienzos de 2014 se reanudaron una vez más los ataques en pleno vigor a comienzos de 2014. En esta ocasión hemos notado cambios en la forma de actuar de los atacantes y en las herramientas que utilizan.

Detalles

El "nuevo" y principal backdoor de MiniDuke (también conocido como TinyBaron o CosmicDuke) está compilado mediante un marco personalizable llamado BotGenStudio, que tiene flexibilidad para activar o desactivar componentes cuando se construye el bot.

Los componentes se pueden dividir en 3 grupos:

• Persistencia: MiniDuke/CosmicDuke es capaz de iniciarse con el Programador de tareas de Windows
• Reconocimiento: el malware puede robar una gran variedad de información, incluidos archivos basados en extensiones y en palabras clave de nombres de archivo, como *.exe; *.ndb; *.mp3; *.avi; *.rar; *.docx; *.url; *.xlsx; *.pptx; *jpg; *.txt; *.lnk; *.dll; *.tmp., etc.
• Exfiltración: el malware implementa varios conectores de red para exfiltrar datos, lo que incluye la carga de datos mediante FTP y tres variantes de mecanismos de comunicación HTTP.

¿Cómo puedo saber si estoy infectado?

Los productos de Kaspersky detectan el backdoor de CosmicDuke como Backdoor.Win32.CosmicDuke.gen y Backdoor.Win32.Generic. Si ya dispones de un producto de Kaspersky, ya se debería haber detectado el malware CosmicDuke. Si aún no tienes instalado un producto de Kaspersky, tendrás que descargar e instalar cualquiera de los productos antivirus de Kaspersky, y ejecutar el software.