Los piratas informáticos de Fancy Bear abusan de los EdgeRouters y los servicios en la nube para lanzar ciberataques sigilosos.

El actor de amenazas conocido como Fancy Bear, formalmente identificado como APT28 y atribuido a la Unidad 26165 del GRU, la inteligencia militar rusa, ha estado cambiando silenciosamente la forma en que ejecuta sus operaciones de ciberataque. En lugar de depender de infraestructura tradicional, el grupo ahora secuestra enrutadores domésticos y dispositivos de consumo para construir una red oculta casi imposible de rastrear.

Durante más de dos décadas, APT28 se ha centrado en organismos gubernamentales, organizaciones de defensa, misiones diplomáticas e infraestructuras críticas, enfocándose principalmente en los Estados miembros de la OTAN y Ucrania. Los analistas de Sekoia, que han seguido las actividades de APT28 durante varios años, identificaron un cambio estructural significativo en la forma en que el grupo gestiona su infraestructura de ataque. Según un informe compartido por Sekoia con Cyber Security News (CSN), APT28 trasladó gran parte de sus operaciones a enrutadores SOHO y dispositivos periféricos comprometidos, reemplazando los servidores privados virtuales alquilados que anteriormente utilizaba como centros de comando. Esta combinación de herramientas desechables, abuso de servicios en la nube y secuestro de enrutadores convierte a APT28 en uno de los actores de amenazas más capaces y activos de la actualidad.

Los integrantes de Fancy Bear también abusan de enrutadores perimetrales y servicios en la nube. El cambio táctico más significativo ha sido la apropiación de enrutadores de consumo por parte de APT28. Además del secuestro de estos dispositivos, el grupo enruta las comunicaciones de su malware a través de plataformas legítimas en la nube para evitar la detección y dificultar el rastreo de sus actividades.

Consultar publicación original ↗