El FBI emitió un boletín a principios de junio de alta confidencialidad que se distribuyó entre las compañías para advertiles de un malware del tipo RAT llamado Sakula que los atacantes habían utilizado para romper la seguridad de la red de una agencia del gobierno de Estados Unidos y robar los datos sensibles de decenas de millones de funcionarios.







Se trata del robo en la Oficina de Administración de Personal (OPM), donde los atacantes lograron robar los datos dos veces. En el primer ataque se consiguieron hacer con los datos personales de los 4,2 millones de funcionarios actuales y anteriores

Pero el segundo robo tuvo un impacto mucho mayor. Lo que hicieron loss atacantes fue obtener acceso al sistema donde se almacena la información sobre exámenes y revisiones de antecedentes. Se trata de datos altamente sensibles, como los problemas de salud mental, drogas y consumo de alcohol, las detenciones por la policía y las quiebras. Además, las personas en la realización de los nombres de formulario de cribado llenan citas y contactos, así como el número de seguridad social.

Esta semana se anunció que los datos privados con información altamente sensible fueron robados de hasta 32 millones de funcionarios oficiales, según el Washington Times Los atacantes utilizaron a través de credenciales robadas de una empresa externa para acceder al sistema interno.

La empresa es responsable de la verificación de antecedentes de los funcionarios que deben mantener la misma "autorización de seguridad", dijo el director de la OPM,  Katherine Archuleta esta semana en una audiencia de un comité del Senado.

Remote Access Tool (RAT): Sakula

A principios de junio el FBI hizo circular un boletín de información técnica, que advertía de Sakula, una  herramienta de acceso remoto (RAT).

• Sakula  - Informe del FBI

A través de esta herramienta los atacantes habían robado información de identificación personal


Sakula- es una herramienta tipo RAT (Troyano) que tiene la capacidad:

• Lanzar consola de comandos remota
•  Enumerar procesos
•  Descargar archivos
• Comunicarse con el servidor de mando y control (C2)
• Se conecta usando el puerto TCP 80 a un dominio configurado. Si el dominio no está disponible, intentará conectarse a un dominio secundario a través del puerto TCP 80 y 443 a través de HTTP. 

Fuentes dejado semana pasada dijeron a Reuters que los hackers de OPM usaron una "herramienta especial" llamada Sakula que se utiliza para controlar los ordenadores de la administración remota, por lo que el vínculo entre el FBI y la advertencia OPM robo podría estar establecido.

El malware ya estaba en la intrusión en la red de la aseguradora de salud llamada Anthem. Desde entonceslos datos de 80 millones fueron robados.

Además de las características técnicas del malware, el FBI también da varios consejos a las empresas lo que deben hacer después de detectar Sakula y qué medidas se pueden tomar para asegurar los sistemas de prevención

Esto implica cosas como el uso de derechos reducidos, lo que limita las cuentas locales, la segregación de la red, registro y seguimiento de las cuentas de administrador, implementar listas blancas y utilizar la experiencia de mitigación mejorada como la herramienta Toolkit Microsoft (EMET). A través de este software gratuito de Microsoft puede que sea más difícil para los atacantes utilizar vulnerabilidades conocidas y desconocidas.

Fuente:
https://publicintelligence.net/fbi-hack-tools-opm/