**Nobelium adapta su campaña de ciberespionaje: rápida evolución táctica tras ser detectados**
—
### 1. Introducción
En el panorama actual de la ciberseguridad, la adaptabilidad de los actores de amenazas patrocinados por Estados-nación es una de las mayores preocupaciones para los equipos de defensa. La última campaña atribuida a Nobelium, el grupo respaldado por Rusia y conocido por el ataque a SolarWinds, ilustra con claridad cómo estos actores pueden modificar rápidamente sus tácticas, técnicas y procedimientos (TTP) tras ser descubiertos. Este artículo analiza en profundidad las características técnicas de la campaña, los riesgos para las organizaciones y las medidas de mitigación recomendadas para los profesionales del sector.
—
### 2. Contexto del Incidente o Vulnerabilidad
A principios de 2024, varios equipos de respuesta ante incidentes y análisis de amenazas detectaron una nueva oleada de ciberespionaje dirigida a sectores gubernamentales, infraestructuras críticas y empresas tecnológicas en Europa y Norteamérica. El actor responsable, Nobelium —también conocido como APT29, Cozy Bear o Midnight Blizzard según las nomenclaturas de Microsoft, FireEye y CrowdStrike—, es conocido por su sofisticación y su capacidad para explotar cadenas de suministro y credenciales privilegiadas.
El reciente descubrimiento de sus tácticas por parte de analistas de seguridad provocó que el grupo modificase rápidamente su infraestructura, técnicas de acceso inicial y herramientas de post-explotación, evidenciando una capacidad de pivotar que complica enormemente la labor de detección y respuesta.
—
### 3. Detalles Técnicos
**CVE y vectores de ataque**
Entre las vulnerabilidades explotadas en esta campaña destacan:
– **CVE-2023-23397** (Microsoft Outlook): Permite la ejecución remota de código mediante mensajes especialmente diseñados.
– **CVE-2024-21412** (Windows SmartScreen): Bypass de protecciones de seguridad para entregar cargas maliciosas.
**Vectores de acceso inicial**
Nobelium ha alternado entre spear phishing dirigido con documentos maliciosos y el compromiso de cuentas en la nube mediante técnicas de password spraying y explotación de MFA Fatigue. Una vez obtenidas credenciales válidas, aprovechan API de Microsoft Graph y tokens OAuth comprometidos para acceder a buzones y documentos sensibles.
**Herramientas y frameworks utilizados**
– **Cobalt Strike**: Usado como framework de post-explotación para el movimiento lateral y la persistencia.
– **NOBELIUM-specific implants**: Variantes de backdoors como GoldMax, EnvyScout y VaporRage.
– **Metasploit Framework**: En fases de reconocimiento y explotación inicial.
**TTP MITRE ATT&CK**
Las técnicas observadas incluyen:
– TA0001 (Initial Access): Spearphishing Attachment, Valid Accounts
– TA0002 (Execution): User Execution, Scripting
– TA0003 (Persistence): Valid Accounts, Scheduled Task/Job
– TA0005 (Defense Evasion): Obfuscated Files or Information, Indicator Removal on Host
– TA0006 (Credential Access): Credential Dumping, OS Credential Dumping
– TA0008 (Lateral Movement): Remote Services (RDP, SMB)
– TA0010 (Exfiltration): Exfiltration Over Web Service
**Indicadores de compromiso (IoC)**
Se han identificado dominios C2 dinámicos, hashes de archivos maliciosos y direcciones IP asociadas a servidores proxy rusos, compartidos en plataformas como VirusTotal y MISP.
—
### 4. Impacto y Riesgos
La campaña afecta principalmente a organizaciones con infraestructuras híbridas o dependientes de servicios en la nube de Microsoft. Se estima que un 12% de las empresas del sector público europeo han sido objetivo de intentos de intrusión, y se han documentado robos de credenciales, exfiltración de documentos confidenciales y acceso a sistemas de correo electrónico de altos directivos.
El impacto potencial incluye desde espionaje industrial hasta la preparación de ataques de mayor alcance, como campañas de desinformación o sabotaje digital. El coste medio de recuperación tras incidentes de este tipo supera los 2,4 millones de euros según datos de ENISA.
—
### 5. Medidas de Mitigación y Recomendaciones
– **Parcheo urgente** de sistemas afectados, especialmente Outlook y mecanismos de autenticación multifactor (MFA).
– **Monitorización de logs** en Azure AD y Microsoft 365 para detectar accesos anómalos y patrones de MFA Fatigue.
– **Revisión y rotación de credenciales** privilegiadas, además de la implementación de políticas de acceso con privilegios mínimos.
– **Bloqueo de IoC** compartidos en Threat Intelligence Feeds y actualización continua de reglas SIEM/SOAR.
– **Segmentación de red** y limitación de movimientos laterales mediante microsegmentación y Zero Trust.
– **Awareness específico** para usuarios clave sobre spear phishing y técnicas de ingeniería social.
—
### 6. Opinión de Expertos
Según Olga García, analista de amenazas en S21sec: “Nobelium demuestra una capacidad de adaptación sin precedentes. Su uso de técnicas de living-off-the-land y la rápida rotación de infraestructura C2 complican la atribución y la respuesta. Sólo una estrategia de defensa en profundidad, combinada con Threat Hunting proactivo, puede mitigar riesgos en el contexto actual”.
—
### 7. Implicaciones para Empresas y Usuarios
Las empresas sujetas a normativas como el RGPD o la inminente NIS2 enfrentan riesgos regulatorios adicionales ante filtraciones de datos sensibles. La detección tardía puede acarrear sanciones multimillonarias y graves daños reputacionales. Los usuarios, especialmente directivos y personal con acceso privilegiado, deben extremar precauciones ante mensajes no solicitados y notificaciones de acceso inusuales.
—
### 8. Conclusiones
La campaña actual de Nobelium subraya la necesidad de una vigilancia continua y una respuesta ágil frente a actores avanzados. La combinación de técnicas de compromiso de cuentas, explotación de vulnerabilidades recientes y herramientas customizadas exige una actualización constante de controles y una colaboración efectiva entre equipos de ciberseguridad y threat intelligence. La resiliencia frente a grupos como Nobelium pasa por la integración de tecnologías avanzadas, procesos maduros y una cultura corporativa centrada en la seguridad.
(Fuente: www.darkreading.com)