Infiltrándose en HawkEye: cómo cibercriminales nigerianos emplearon un simple keylogger para explotar a pymes

En el esquema típico de ciberdelincuencia, los autores venden la información que han recopilado de sus víctimas en el mercado negro del cibercrimen y pasan a lanzar ataques contra nuevos objetivos.

Sin embargo, en el caso de las operaciones perpetradas de forma independiente por dos delincuentes nigerianos apodados como «Uche» y «Okiki,» utilizaron un simple keylogger –o registrador de pulsaciones de teclado- muy simple, «Hawkeye” u “Ojo de Halcón», para explorar más y alcanzar mayores metas. En lugar de vender los datos confidenciales que adquirían de sus víctimas, estos cibercriminales se tomaban su tiempo para recabar más información de los contactos de negocio de las víctimas, de sus afiliados y socios con el fin de poner en marcha las estafas y sacar más rendimiento. La herramienta jugó un papel crucial en el cambio de rol de los fraudes a proveedores. En dicho patrón, los ciberdelincuentes supervisan los correos electrónicos comprometidos de negocios y transacciones secuestradas enviando detalles de pago alternativo, rutas de pago que se dirigen directamente a los bolsillos de los ciberdelincuentes. Este trabajo de investigación de Trend Micro pone de relieve cómo los ciberdelincuentes son capaces de utilizar el software poco sofisticado para ejecutar ataques de gran impacto. El impacto de un ataque puede depender de cómo los ciberdelincuentes utilicen los datos que roban de sus víctimas.

Por ejemplo, la información robada a través Hawkeye permitió a los cibercriminales  ampliar sus objetivos e incluir a aquellos que han hecho negocios con las víctimas iniciales. En el análisis y monitorización de las víctimas realizado por Trend Micro, se observó que estas empresas estaban o bien relacionadas entre sí o que eran del mismo sector, la mayoría eran pequeñas y medianas empresas ubicadas en India, Egipto e Irán. Aparte de explorar más objetivos, Hawkeye se utilizó para poder moverse lateralmente a través de las grandes organizaciones. Según la investigación de Trend Micro, una oficina regional fue inicialmente el trampolín utilizado para llegar a una presa mayor, la oficina central de la compañía. Esto demuestra que los cibercriminales emplearon su acceso a estas oficinas regionales más pequeñas con el fin de lograr entrar en la oficina central. La serie de ataques de malware lanzados por Uche y Okiki disipa la idea de que sólo las grandes empresas son vulnerables a los ataques de cibercrimen. Hoy en día, el tamaño de la empresa, no importa. Cualquiera es un objetivo potencial. Las pymes suelen tener un presupuesto más pequeño asignado a seguridad TI, pero se enfrentan a los mismos desafíos de seguridad y amenazas que las grandes corporaciones.  Como estas operaciones fueron exitosas, las brechas de seguridad dentro de las empresas más pequeñas fueron aprovechadas para dar el salto a objetivos empresariales más grandes.