Expertos en ciberseguridad detuvieron una campaña mundial que abusaba de plataformas legítimas en la nube para robar datos de telecomunicaciones.
Google Threat Intelligence Group y Mandiant acabaron una campaña de ciberespionaje con alcance internacional, dirigida a organizaciones gubernamentales y empresas de telecomunicaciones en cuatro continentes. La operación, atribuida al grupo identificado como UNC2814, habría afectado al menos a 53 víctimas confirmadas en 42 países, mediante tácticas avanzadas para infiltrarse en sus sistemas.
Los atacantes desarrollaron una puerta trasera conocida como GRIDTIDE. En este caso, no se describe una explotación de vulnerabilidades, sino el abuso de funciones normales de la interfaz de programación de aplicaciones de Google Sheets con la idea de camuflar el tráfico.
GRIDTIDE es un malware basado en C desarrollado por el grupo UNC2814, vinculado a China, que permite ejecutar comandos shell arbitrarios, subir y descargar archivos en sistemas comprometidos. Se despliega como un binario disfrazado (ej. /var/tmp/xapt o /usr/sbin/xapt) con persistencia vía servicios systemd como xapt.service.
El código malicioso usa la hoja de cálculo como un canal de comunicación de ida y vuelta. Lee instrucciones desde celdas específicas y guarda información sustraída en otras, con el objetivo de pasar desapercibido frente a controles corporativos.
La idea de lo que hacían los atacantes chinos se resume en el siguiente ejemplo:
El equipo especializado mitigó el ataque al eliminar los entornos en la nube controlados por el grupo y al revocar las credenciales de los documentos usados para coordinar las intrusiones.
Con estas medidas se bloqueó el acceso persistente a las redes y se redujo el riesgo sobre datos expuestos, como información de identificación personal y registros de llamadas.
