LokiRat
Loki.Rat, un troyano de acceso remoto (RAT, por sus siglas en inglés) utilizado por el grupo APT El Machete desde al menos 2020, ha sido una herramienta central en sus campañas de ciberespionaje durante el conflicto entre Rusia y Ucrania. Este malware, disfrazado como actualizaciones de Adobe, se propaga a través de documentos de Word maliciosos que contienen macros codificadas. Una vez ejecutado, Loki.Rat establece persistencia en el sistema mediante una tarea programada y realiza una serie de actividades maliciosas, incluyendo el robo de datos sensibles, la captura de pantalla y la ejecución de comandos remotos. Su arquitectura modular y su capacidad para evadir la detección lo convierten en una herramienta poderosa para El Machete en su búsqueda de información confidencial de objetivos financieros y gubernamentales en América Latina.
Funcionamiento
Loki.Rat es una herramienta sofisticada utilizada por el grupo APT El Machete para llevar a cabo operaciones de ciberespionaje dirigidas en América Latina. Su capacidad para eludir la detección y realizar una amplia gama de actividades maliciosas lo convierte en una amenaza significativa para la seguridad cibernética de las organizaciones objetivo.
- Distribución inicial: Loki.Rat se distribuye principalmente a través de documentos de Microsoft Word maliciosos que contienen macros codificadas. Estos documentos se envían como adjuntos en correos electrónicos de spear-phishing, dirigidos específicamente a objetivos en sectores financieros y gubernamentales en América Latina.
- Infección inicial: Cuando el usuario abre el documento de Word y habilita las macros, se activa el código malicioso incrustado en el archivo. Este código descifra y ejecuta una serie de comandos que descargan e instalan Loki.Rat en el sistema comprometido.
- Establecimiento de persistencia: Una vez en el sistema, Loki.Rat se asegura de mantenerse activo y persistente. Para lograr esto, crea una tarea programada que se ejecuta cada 5 minutos, simulando ser una tarea de actualización de Adobe Reader. Esto garantiza que el malware permanezca en el sistema incluso después de reinicios o apagados.
- Funcionalidades de espionaje: Loki.Rat está diseñado para robar información sensible y llevar a cabo actividades de espionaje en el sistema comprometido. Sus capacidades incluyen:
- Keylogging: Registra las pulsaciones de teclas del usuario, lo que le permite capturar contraseñas y otra información confidencial.
- Captura de pantalla: Toma capturas de pantalla periódicas del escritorio del usuario, lo que permite al atacante observar la actividad en tiempo real.
- Robo de datos de navegadores web: Loki.Rat puede extraer credenciales de inicio de sesión almacenadas en navegadores web como Chrome y Firefox.
- Recopilación de información del sistema: Recolecta información sobre los archivos presentes en el sistema, así como detalles sobre el hardware y el software instalado.
- Comunicación con el servidor de comando y control (C&C): Una vez recopilada la información, Loki.Rat la envía de vuelta a un servidor de comando y control controlado por el atacante. Esto se realiza de manera encubierta para evitar la detección, utilizando técnicas de ofuscación y encriptación de datos.
- Modularidad y adaptabilidad: Loki.Rat es altamente modular y adaptable, lo que significa que puede ser actualizado y modificado fácilmente por los desarrolladores para evadir las defensas de seguridad y mantener su eficacia a lo largo del tiempo. Además, su arquitectura modular le permite llevar a cabo diversas tareas maliciosas según las necesidades del atacante.
Impacto y consecuencias
El impacto y las consecuencias de Loki.Rat pueden ser significativos y perjudiciales tanto para los sistemas comprometidos como para las organizaciones y usuarios afectados. A continuación, se detallan estos aspectos de manera técnica y extensa:
- Pérdida de datos sensibles: Una de las consecuencias más graves de Loki.Rat es la pérdida de datos sensibles y confidenciales. Debido a sus capacidades de keylogging y robo de información del navegador, el malware puede capturar contraseñas, información bancaria, correos electrónicos y otros datos privados. Esta información robada puede ser utilizada para llevar a cabo fraudes financieros, extorsión o incluso chantaje.
- Exposición de información corporativa: Las organizaciones comprometidas por Loki.Rat pueden enfrentarse a la exposición de información corporativa confidencial. Esto incluye documentos internos, estrategias empresariales, propiedad intelectual y datos de clientes. La filtración de esta información puede tener graves repercusiones legales, financieras y reputacionales para la organización afectada.
- Daños a la reputación: La detección de Loki.Rat en una red empresarial puede dañar la reputación de la organización afectada. La falta de seguridad percibida puede disuadir a clientes, socios comerciales y empleados potenciales de interactuar con la empresa, lo que puede afectar negativamente a sus operaciones comerciales a largo plazo.
- Disrupción de las operaciones comerciales: El acceso remoto y las capacidades de control de Loki.Rat pueden permitir a los atacantes interferir con las operaciones comerciales normales de una organización. Esto podría implicar la eliminación o alteración de datos críticos, la interrupción de servicios en línea, la manipulación de sistemas de control industrial o incluso el bloqueo completo del acceso a los sistemas de la organización.
- Costos de remediación: La detección y mitigación de una infección por Loki.Rat puede ser costosa y consumir recursos significativos de personal y tecnología de seguridad. Las organizaciones afectadas pueden necesitar realizar análisis forenses, limpiar sistemas infectados, implementar medidas de seguridad adicionales y capacitar al personal en ciberseguridad para prevenir futuros incidentes.
- Vulnerabilidad continua: Incluso después de la remediación inicial, las organizaciones comprometidas por Loki.Rat pueden seguir siendo vulnerables a futuros ataques. Esto se debe a la posibilidad de que los atacantes mantengan el acceso persistente a los sistemas comprometidos, instalen puertas traseras adicionales o utilicen información robada para llevar a cabo ataques dirigidos más sofisticados en el futuro.
Origen y Motivación
Loki.Rat, un troyano de acceso remoto (RAT), se origina en grupos de amenazas avanzadas (APT) como El Machete, Lyceum y posiblemente SideWinder, con base en América Latina, Medio Oriente y Asia respectivamente. Estos actores, que tienen como objetivo sectores financieros, gubernamentales y energéticos, capitalizan la tensión geopolítica entre Rusia y Ucrania, utilizando señuelos relacionados con el conflicto para atraer a las víctimas a sus campañas de spear-phishing. Su motivación radica en la obtención de información sensible, el espionaje cibernético y posiblemente la interrupción de las operaciones de sus objetivos, lo que refleja una estrategia de ciberespionaje respaldada por estados y diseñada para obtener ventajas estratégicas y económicas.