El Laboratorio de Investigación de ESET, identificó que un grupo de ciber-espionaje altamente cualificado robó y utilizó certificados digitales de compañías tecnológicas taiwanesas como D-Link y Changing Information Technologies.
ESET descubrió la campaña de malware cuando sus sistemas detectaron varios archivos sospechosos. Los mismos fueron firmados digitalmente utilizando un certificado válido para la firma de código perteneciente a D-Link Corporation. Lo que se identificó es que el mismo certificado fue utilizado para firmar un software legítimo de D-Link, lo que evidenciada la posibilidad de que el certificado fuera robado.
El análisis identificó dos familias de malware diferentes que estaban utilizando de manera indebida el certificado robado, por una parte Plead malware, un backdoor. La herramienta de robo es utilizada para recopilar contraseñas guardadas en aplicaciones como Google Chrome, Microsoft Internet Explorer, Microsoft Outlook y Mozilla Firefox.
Habiendo confirmado la naturaleza maliciosa de los archivos, ESET notificó a D-Link, quienes iniciaron su propia investigación al respecto. Como consecuencia de ello, D-Link recovó el certificado digital comprometido el día 3 de julio de 2018.
Junto con la muestra de Plead firmada con el certificado de D-Link, los investigadores de ESET también identificaron muestras firmadas en las que se utilizó un certificado perteneciente a una compañía de seguridad de Taiwán conocida como Changing Information Technology Inc. A pesar de que el certificado de Changing Information Technology Inc. fue revocado el 4 de julio de 2017, el grupo BlackTech sigue utilizándolo para firmar sus herramientas maliciosas.
“Desde ESET apuntamos a la educación como la principal herramienta de seguridad. Conocer los riesgos que existen permite tomar los recaudos necesarios y así estas preparados para evitarlos. Para evitar el acceso no autorizado de terceros a nuestras cuentas, es importante contar con software de seguridad que impida el mismo. Además, es importante mantener nuestros datos cifrados y agregar una capa adicional mediante la doble autenticación a nuestras redes, sitios y aplicaciones para evitar que un atacante pueda acceder los mismos.”, mencionó Camilo Gutierrez, Jefe del Laboratorio de Investigación de ESET Latinoamérica.
