ColdRiver y el malware LostKeys: Nueva herramienta de espionaje ruso contra objetivos occidentales
Desde principios de 2024, el grupo de hacking respaldado por el estado ruso, conocido como ColdRiver (también identificado como Star Blizzard o Callisto Group), ha estado utilizando un nuevo malware denominado “LostKeys” en campañas de espionaje dirigidas a gobiernos occidentales, periodistas, think tanks y organizaciones no gubernamentales. Esta actividad representa una evolución en las tácticas del grupo, que históricamente se ha enfocado en operaciones de recolección de inteligencia.
Características técnicas del malware LostKeys
LostKeys es un malware diseñado específicamente para el robo de archivos, con capacidades avanzadas de evasión y persistencia. Entre sus características técnicas más relevantes se encuentran:
- Mecanismos de inyección de código en procesos legítimos del sistema para evitar detección
- Uso de protocolos de comunicación cifrados para exfiltrar datos
- Capacidad de recolectar documentos, credenciales y metadatos de archivos
- Técnicas de living-off-the-land (LotL) que aprovechan herramientas administrativas legítimas
- Persistencia mediante la creación de tareas programadas y claves de registro
Modus operandi de ColdRiver
ColdRiver sigue una metodología de ataque bien definida:
- Fase de reconocimiento: Identificación de objetivos mediante inteligencia de fuentes abiertas (OSINT)
- Compromiso inicial: Ataques de spear-phishing altamente personalizados que imitan comunicaciones legítimas
- Ejecución del payload: Implementación de LostKeys tras conseguir acceso inicial
- Movimiento lateral: Escalada de privilegios y movimiento dentro de la red objetivo
- Exfiltración de datos: Transferencia encubierta de información sensible
Implicaciones para la seguridad cibernética
La aparición de LostKeys plantea varios desafíos significativos para las organizaciones objetivo:
- Mayor sofisticación en las técnicas de evasión de detección
- Uso de tácticas que dificultan la atribución definitiva
- Enfoque en objetivos estratégicos con acceso a información sensible
- Potencial para operaciones de influencia basadas en información robada
Las organizaciones en sectores gubernamentales, medios de comunicación y think tanks deben reforzar sus medidas de seguridad, incluyendo:
- Implementación de controles avanzados de detección y respuesta (EDR/XDR)
- Capacitación continua contra ataques de ingeniería social
- Segmentación de redes para limitar el movimiento lateral
- Monitoreo de tráfico saliente para detectar posibles exfiltraciones
Para más detalles sobre esta campaña, consulta la Fuente original.
Recomendaciones de mitigación
Las organizaciones potencialmente en riesgo deberían considerar las siguientes medidas defensivas:
- Actualizar y parchear todos los sistemas regularmente
- Implementar autenticación multifactor (MFA) en todos los accesos críticos
- Restringir permisos siguiendo el principio de mínimo privilegio
- Monitorear actividades sospechosas relacionadas con procesos svchost.exe y rundll32.exe
- Analizar regularmente registros de eventos para detectar patrones anómalos
La aparición de LostKeys demuestra la continua evolución de las capacidades de los grupos APT patrocinados por estados, requiriendo un enfoque proactivo y en capas para la defensa cibernética.
