{"id":10296,"date":"2021-07-04T05:12:18","date_gmt":"2021-07-04T09:12:18","guid":{"rendered":"https:\/\/www.notaoficial.com\/s\/?p=10296"},"modified":"2021-07-04T05:12:18","modified_gmt":"2021-07-04T09:12:18","slug":"eset-descubre-la-ultima-version-de-gelsemium-grupo-de-cibersespionaje-contra-el-gobierno-y-otros-objetivos-en-asia","status":"publish","type":"post","link":"https:\/\/www.notaoficial.com\/s\/2021\/07\/04\/eset-descubre-la-ultima-version-de-gelsemium-grupo-de-cibersespionaje-contra-el-gobierno-y-otros-objetivos-en-asia\/","title":{"rendered":"ESET descubre la \u00faltima versi\u00f3n de Gelsemium:  grupo de cibersespionaje contra el gobierno y otros objetivos en Asia"},"content":{"rendered":"<p>A mediados de 2020 investigadores de <a href=\"https:\/\/www.eset.com\/latam\/\">ESET<\/a>, compa\u00f1\u00eda l\u00edder en detecci\u00f3n proactiva de amenazas, comenzaron a analizar m\u00faltiples campa\u00f1as, que luego fueron atribuidas al grupo de ciberespionaje Gelsemium, y rastrearon la primera versi\u00f3n de su principal malware que se remonta a 2014.<\/p>\n<p>Las v\u00edctimas de estas campa\u00f1as se encuentran en el este de Asia, as\u00ed como en el Medio Oriente, e incluyen gobiernos, organizaciones religiosas, fabricantes de productos electr\u00f3nicos y universidades.<\/p>\n<p>Gelsemium est\u00e1 muy dirigido, con solo unas pocas v\u00edctimas (seg\u00fan la telemetr\u00eda de ESET), y considerando sus capacidades, esto apunta a la conclusi\u00f3n de que el grupo est\u00e1 involucrado en el ciberespionaje. El grupo tiene una gran cantidad de componentes adaptables.<\/p>\n<p>\u00ab<em>Toda la cadena de Gelsemium puede parecer simple a primera vista, pero el n\u00famero exhaustivo de configuraciones, implantadas en cada etapa, puede modificar la configuraci\u00f3n sobre la marcha de la carga \u00fatil final, lo que hace que sea m\u00e1s dif\u00edcil de entender<\/em>\u00ab, explica el investigador de ESET Thomas Dupuy, co -autor de la investigaci\u00f3n Gelsemium.<\/p>\n<p>Los investigadores de ESET creen que Gelsemium est\u00e1 detr\u00e1s del ataque a la cadena de suministro contra BigNox que se inform\u00f3 anteriormente como <a href=\"https:\/\/www.welivesecurity.com\/la-es\/2021\/02\/01\/ataque-cadena-suministro-apunta-jugadores-videojuegos-online\/\">Operaci\u00f3n NightScout<\/a>. Este fue un ataque a la cadena de suministro, informado por ESET, que comprometi\u00f3 el mecanismo de actualizaci\u00f3n de NoxPlayer, un emulador de Android para PC y Mac, y parte de la gama de productos de BigNox, con m\u00e1s de 150 millones de usuarios en todo el mundo.<\/p>\n<p>La investigaci\u00f3n descubri\u00f3 cierta superposici\u00f3n entre este ataque a la cadena de suministro y el grupo Gelsemium. Las v\u00edctimas originalmente comprometidas por ese ataque a la cadena de suministro luego fueron comprometidas por Gelsemine. Entre las diferentes variantes examinadas, la \u00abvariante 2\u00bb del art\u00edculo muestra similitudes con el malware Gelsemium.<\/p>\n<p>Durante la investigaci\u00f3n desde ESET identificaron algunos programas maliciosos interesantes que se describen en las siguientes secciones.<\/p>\n<ul>\n<li><strong>Operaci\u00f3n NightScout (BigNox)<\/strong>: en enero de 2021, ESET public\u00f3\u00a0<a href=\"https:\/\/www.welivesecurity.com\/la-es\/2021\/02\/01\/ataque-cadena-suministro-apunta-jugadores-videojuegos-online\/\">Operaci\u00f3n NightScout<\/a>; un ataque de cadena de suministro que comprometi\u00f3 el mecanismo de actualizaci\u00f3n de NoxPlayer, un emulador de Android para PC y Mac, y parte de la gama de productos de\u00a0<a href=\"https:\/\/www.bignox.com\/\">BigNox<\/a>\u00a0con m\u00e1s de 150 millones de usuarios en todo el mundo. La investigaci\u00f3n revel\u00f3 cierta relaci\u00f3n entre este ataque de cadena de suministro y el grupo Gelsemium.<\/li>\n<li><strong>OwlProxy<\/strong>: este m\u00f3dulo tambi\u00e9n viene en dos variantes \u2013 versiones de 32 y 64 bits \u2013 y como resultado contiene una funci\u00f3n para probar la versi\u00f3n de Windows al igual que en los componentes de Gelsemium.<\/li>\n<li><strong>Chrommme<\/strong>: Chrommme es un backdoor identificado por ESET en el ecosistema Gelsemium. Las similitudes de c\u00f3digo con los componentes de Gelsemium son casi inexistentes, pero se encontraron peque\u00f1os indicadores durante el an\u00e1lisis que llevan a creer que de alguna manera est\u00e1 relacionado con el grupo. Se encontr\u00f3 el mismo servidor C&amp;C tanto en Gelsevirine como en Chrommme, ambos utilizan dos servidores C&amp;C. Chrommme se encontr\u00f3 en la m\u00e1quina de una organizaci\u00f3n tambi\u00e9n comprometida por el grupo Gelsemium.<\/li>\n<\/ul>\n<p><em>\u201cEl bioma Gelsemium es muy interesante: muestra pocas v\u00edctimas (seg\u00fan nuestra telemetr\u00eda) con una gran cantidad de componentes adaptables. El sistema de plugins muestra que sus desarrolladores tienen un conocimiento profundo de C++. Peque\u00f1as similitudes con herramientas de malware conocidas arrojan luz sobre posibles relaciones con otros grupos y actividades pasadas. Esperamos que esta investigaci\u00f3n impulse a otros investigadores a publicar sobre el grupo y revelar m\u00e1s ra\u00edces relacionadas con esta biosfera de malware.\u201d, <\/em>comentan <a href=\"https:\/\/www.welivesecurity.com\/la-es\/author\/tdupuy\/\"><strong>Thomas Dupuy<\/strong><\/a> y <a href=\"https:\/\/www.welivesecurity.com\/la-es\/author\/mfaou\/\"><strong>Matthieu Faou<\/strong><\/a>, del equipo de ESET.<\/p>\n<p>Para acceder al <a href=\"https:\/\/www.welivesecurity.com\/wp-content\/uploads\/2021\/06\/eset_gelsemium.pdf\">whitepaper<\/a> completo ingrese a:\u00a0<a href=\"https:\/\/www.welivesecurity.com\/wp-content\/uploads\/2021\/06\/eset_gelsemium.pdf\"><strong>Gelsemium<\/strong><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>A mediados de 2020 investigadores de ESET, compa\u00f1\u00eda l\u00edder en detecci\u00f3n proactiva de amenazas, comenzaron a analizar m\u00faltiples campa\u00f1as, que luego fueron atribuidas al grupo de ciberespionaje Gelsemium, y rastrearon la primera versi\u00f3n de su principal malware que se remonta a 2014. Las v\u00edctimas de estas campa\u00f1as se encuentran en el este de Asia, as\u00ed [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":10297,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[146],"tags":[988,1538],"wppr_data":{"cwp_meta_box_check":"No"},"_links":{"self":[{"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/posts\/10296"}],"collection":[{"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/comments?post=10296"}],"version-history":[{"count":1,"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/posts\/10296\/revisions"}],"predecessor-version":[{"id":10298,"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/posts\/10296\/revisions\/10298"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/media\/10297"}],"wp:attachment":[{"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/media?parent=10296"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/categories?post=10296"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.notaoficial.com\/s\/wp-json\/wp\/v2\/tags?post=10296"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}