Según los investigadores de Kaspersky, existe un vínculo entre el reciente ataque a la cadena de suministros de los usuarios de ASUS, conocida por Operación ShadowHammer, con la amenaza “ShadowPad” y el incidente con CCleaner, de septiembre de 2018. Recordemos que este incidente posee las mismas características que la Operación ShadowHammer, en aquella ocasión fueron atacados los sistemas de la cadena de suministro de CCleaner.
“Es importante tener en cuenta que cualquier, incluso pequeña, alteración de ejecutables, normalmente rompe la firma digital. Sin embargo, en este caso, la firma digital estaba intacta: válida y verificable"
En este sentido, la Operación ShadowHammer, fue descubierta en enero de 2019. Los ciberdelincuentes protagonistas del ataque, utilizaron una versión troyana de la utilidad de actualización en vivo de ASUS para instalar una puerta trasera en dispositivos específicos, seleccionados en función de sus direcciones MAC . Desde entonces, ASUS ha lanzado actualizaciones de software para tratar de solucionar el problema.
Los ciberdelincuentes manipularon un código binario
Según Kaspersky, los autores del ataque manipularon un código binario que se compiló en su origen en 2015 y que se firmó de manera digital para evitar llamar la atención. El código maliciosos inyectado en los sistemas binarios de las computadoras permite recuperar e instalar una puerta trasera utilizada en el ataque, para controlar los sistemas comprometidos.
600 dispositivos fueron los seleccionados para sufrir el ataque
Cabe destacar que el ataque a la cadena de suministros, fue uno de los más sofisticados según Kaspersky. La puerta trasera, diseñada por los ciberatacantes, fue creada para ser instalada tan solo en 600 dispositivos seleccionados e identificados a través de su dirección MAC.
Durante la investigación, los expertos encontraron otros códigos binarios firmados digitalmente por otros tres proveedores en Asia. Los códigos binarios se firmaron con certificados diferentes y una cadena de confianza única, pero los expertos señalaron que la forma en que se trojanizaron los binarios fue la misma en los tres casos.
“Es importante tener en cuenta que cualquier, incluso pequeña, alteración de ejecutables, normalmente rompe la firma digital. Sin embargo, en este caso, la firma digital estaba intacta: válida y verificable. Rápidamente nos dimos cuenta de que estábamos tratando con un caso de una firma digital comprometida ” ha explicado Kaspersky en su investigación sobre el caso.
Si (
No(
