Turla
El grupo de espionaje del FSB ruso que lleva veinte años dentro de embajadas y ministerios de más de 50 países con su malware Snake.
Quién es
Turla es un grupo de espionaje atribuido al Servicio Federal de Seguridad de Rusia (FSB). Ha comprometido víctimas en más de 50 países al menos desde 2004. Otros equipos lo llaman Snake, Venomous Bear, Waterbug, WhiteBear, Krypton, IRON HUNTER y Secret Blizzard. En 2023 el FBI y sus socios desmantelaron la red de su malware Snake en la operación MEDUSA.
Cómo entra
Con sitios legítimos que infecta para atacar a quien los visita (abrevadero) y con correos dirigidos.
Qué hace una vez dentro
Usa herramientas propias muy elaboradas: Uroburos o Snake, Carbon, ComRAT, Kazuar, LightNeuron para servidores de correo y Penquin para Linux. Hace un reconocimiento muy detallado de la red, se esconde con mucho cuidado y saca información durante años.
A quién ataca
Gobiernos, embajadas, fuerzas armadas, educación, investigación y farmacéuticas.
Técnicas de MITRE ATT&CK
Desarrollo de recursos 7
Ejecución 7
Escalada de privilegios 3
Sigilo 10
- T1027.005Indicator Removal from Tools
- T1027.010Command Obfuscation
- T1027.011Fileless Storage
- T1036.005Match Legitimate Resource Name or Location
- T1055Process Injection
- T1055.001Dynamic-link Library Injection
- T1078.003Local Accounts
- T1134.002Create Process with Token
- T1140Deobfuscate/Decode Files or Information
- T1564.012File/Path Exclusions
Debilitamiento de defensas 3
Descubrimiento 18
- T1007System Service Discovery
- T1012Query Registry
- T1016System Network Configuration Discovery
- T1016.001Internet Connection Discovery
- T1018Remote System Discovery
- T1049System Network Connections Discovery
- T1057Process Discovery
- T1069.001Local Groups
- T1069.002Domain Groups
- T1082System Information Discovery
- T1083File and Directory Discovery
- T1087.001Local Account
- T1087.002Domain Account
- T1120Peripheral Device Discovery
- T1124System Time Discovery
- T1201Password Policy Discovery
- T1518.001Security Software Discovery
- T1615Group Policy Discovery
Recolección 4
Comando y control 7
Exfiltración 1
- T1567.002Exfiltration to Cloud Storage
Fuente: MITRE ATT&CK v20, grupo G0010.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Villanos relacionados
Fuentes
