Un grupo de amenazas persistentes avanzadas (APT) supuestamente vinculado a Hamás está usando documentos con malware con el fin de infiltrarse en agencias gubernamentales y entidades diplomáticas de África y Oriente Medio, principalmente en Omán, Marruecos y la Autoridad Palestina.
Desde la unidad de ciberseguridad Unit42 de Palo Alto Networks señalan que este colectivo identificado como Ashen Pepus -y conocido también con el alias de WIRTE– ha liderado una campaña en la que ha usado una suite de malware propia denominada ‘AshTag’, la cual se ha diseñado para el espionaje continuo y la exfiltración de documentos sensibles.
Como señuelo estos cibermalos usan documentos con temas políticos o diplomáticos para que los funcionarios piquen y abran los archivos maliciosos. La intrusión suele arrancar con un PDF infectado que induce a la víctima a descargar un archivo comprimido (.RAR) con el malware.
Cuando consigue entrar, la herramienta es capaz de extraer archivos, ejecutar comandos remotos y robar datos directamente de cuentas de email o sistemas comprometidos.
Un veterano del conflicto
Ashen Lepus ha estado activo desde al menos 2018, pero sus campañas han evolucionado y ampliado su alcance. Al principio se enfocó en instituciones gubernamentales de países cercanos al conflicto Israel-Palestina, pero recientemente ha virado hacia los objetivos que señalábamos al principio.
Investigadores de seguridad han observado solapamientos de herramientas y objetivos con otros grupos atribuidos a Hamás o a su esfera de influencia, como parte de redes más amplias de actores. Así, a este APT también lo han relacionado con otras agrupaciones más amplias, como Gaza Cybergang y Molerats.
Investigaciones anteriores han asociado a hackers ligados a Hamás con variantes de malware como SysJoker, que en el pasado se dirigió a instituciones educativas en Israel.
Su manera de actuar deja entrever que su lev motiv es, fundamentalmente, recopilar inteligencia política y diplomática, más que causar daños.
Algo llamativo de este APT es que ha estado activo incluso durante y después del conflicto entre Israel y Hamás, incluso tras el alto el fuego que se registró en octubre.
Acerca del autor
