“`html
APT36 suplanta sitio web de India Post para distribuir malware en Windows y Android
Un grupo de amenaza persistente avanzada (APT) con vínculos a Pakistán, conocido como APT36 (también llamado “Transparent Tribe” o “ProjectM”), ha sido identificado como responsable de una campaña de ciberespionaje dirigida a usuarios indios. La operación involucró la creación de un sitio web falso que imitaba al servicio postal público de India (India Post) con el objetivo de distribuir malware tanto para dispositivos Windows como Android.
Técnicas de ataque empleadas por APT36
Según el análisis de CYFIRMA, los actores de amenaza utilizaron las siguientes técnicas:
- Ingeniería social avanzada: Réplica exacta del sitio web oficial de India Post (indiapost.gov.in) con dominio similar para engañar a las víctimas.
- Doble vector de ataque: Distribución simultánea de payloads para Windows (.exe) y Android (.apk).
- Obfuscación de código: Uso de técnicas anti-análisis para evadir detección por soluciones de seguridad.
- Comando y Control (C2): Infraestructura basada en servidores proxy para gestionar conexiones maliciosas.
Malware identificado en la campaña
Los investigadores detectaron dos variantes principales de malware:
- Para Windows: Ejecutable que instala un RAT (Remote Access Trojan) con capacidades de:
- Keylogging
- Captura de pantalla
- Exfiltración de documentos
- Para Android: APK malicioso que solicita permisos excesivos para:
- Acceso a mensajes SMS
- Grabación de audio
- Geolocalización
Implicaciones de seguridad y recomendaciones
Esta campaña demuestra la sofisticación creciente de APT36 en ataques dirigidos contra entidades gubernamentales y ciudadanos. Se recomienda:
- Verificar siempre la autenticidad de los sitios web oficiales (HTTPS, certificados válidos).
- No descargar aplicaciones desde fuentes no oficiales.
- Mantener sistemas operativos y antivirus actualizados.
- Implementar soluciones EDR/XDR para detección avanzada de amenazas.
Para más detalles técnicos sobre esta investigación, consulta el informe completo en: Fuente original.
“`
