Kaspersky Lab puso al descubierto una nueva organización ciberdelictiva

Los investigadores de la empresa rusa de Seguridad Informática pusieron al descubierto una organización de delincuentes informáticos que bajo el nombre de “Grupo Poseidón” llevaban adelante un comercio virtual que vendía malware y operaba por tierra, mar y aire. 

Se estimó que el grupo lleva operando a nivel global desde 2005, como mínimo. Según la empresa, lo novedoso de su accionar es que se trata de una entidad con fines comerciales, cuyos ataques implican malware personalizado firmado digitalmente con certificados falsos. Su objetivo es robar datos confidenciales de las víctimas para obligarlas a establecer relaciones comerciales. Además, el malware está diseñado para funcionar específicamente en equipos Windows en portugués e inglés.

Se han identificado al menos 35 de las empresas víctimas, entre las que se incluyen instituciones financieras y gubernamentales, telecomunicaciones, energía y otras empresas de servicios públicos, así como medios de comunicación y empresas de relaciones públicas. Los analistas de Kaspersky Lab también han detectado ataques a empresas de servicios para altos ejecutivos.


Aunque los objetivos están ubicados principalmente en Brasil, donde muchas de empresas tienen oficinas o partners, también se han encontrado víctimas en los siguientes países: Estados Unidos, Francia, Kazajstán, Emiratos Árabes Unidos, India y Rusia.

Una de las características del Grupo Poseidón es la exploración activa de las redes corporativas basadas en el dominio. Según el informe de Kaspersky Lab, el Grupo Poseidón utiliza principalmente emails de phishing con archivos RTF/DOC, por lo general con un señuelo relacionado con recursos humanos. Tras el clic de apertura, introduce un código binario malicioso en el sistema del objetivo. Otro hallazgo clave es la presencia de hilos de conversación en portugués. Las muestras revelan una preferencia del Grupo por los sistemas portugueses, práctica que hasta ahora no se había visto.

Una vez que un equipo está infectado, el malware informa a los servidores de comando y control antes de comenzar una fase compleja de movimiento lateral. En esta fase interviene una herramienta especializada que recoge de forma automática un gran flujo de información: credenciales, políticas de gestión de grupos e incluso los logs del sistema para perfeccionar futuros ataques y asegurar la ejecución de los programas maliciosos. Así, los atacantes saben qué aplicaciones y comandos pueden utilizar sin alertar al administrador de la red durante el movimiento lateral y la exfiltración.


Después, la información recopilada se utiliza por una empresa que funciona como anzuelo y manipula a la víctima para lograr que contrate los servicios de Poseidón Security como consultora de seguridad bajo la amenaza de utilizar la información robada en favor de Poseidón.

“El Grupo Poseidón es un equipo sólido con muchos años de trayectoria en todos los dominios: tierra, aire y mar. Algunos de sus centros de mando y control se han encontrado en el interior de los ISPs que ofrecen servicios de Internet a los barcos en alta mar, en las conexiones inalámbricas, así como los operadores tradicionales”, explicó Dmitry Bestúzhev (foto), director de investigación global de Kaspersky Lab América Latina. “Además, la vida útil de sus implantes es muy corta, lo que les ha ayudado a operar mucho tiempo sin ser detectados.”

El Grupo Poseidón ha estado activo los últimos 10 años por lo que sus técnicas para diseñar implants han evolucionado, dificultando así la tarea de correlacionar y conectar dichas técnicas al mismo grupo. Aun así, a base de recopilar pruebas y reconstruir la línea del tiempo del atacante y su caligrafía, los expertos de Kaspersky Lab lograron, a mediados de 2015, identificar trazos inconexos y concluir que provenían del mismo actor amenaza, el Grupo Poseidón.

Los productos de Kaspersky Lab detectan y eliminan todas las versiones conocidas de Grupo Poseidón.