El grupo Everest ha supuestamente reclamado un importante ciberataque contra Nissan Motor Co., Ltd., lo que genera nuevas preocupaciones sobre la seguridad de los datos en los grandes fabricantes de automóviles.

Según los primeros informes, el grupo de ciberdelincuentes afirma haber extraído alrededor de 900 GB de datos sensibles del fabricante japonés, una cantidad que sugiere un amplio acceso a sus sistemas internos y repositorios.

Aunque aún no está claro el alcance total del compromiso, este incidente subraya cómo los grupos de ransomware y robo de datos siguen atacando cadenas de suministro globales y datos industriales de alto valor.

Los primeros indicios de la intrusión aparecieron en foros clandestinos, donde el grupo supuestamente compartió muestras de prueba del compromiso para respaldar sus afirmaciones.

Estas muestras podrían incluir documentos internos, archivos de ingeniería o registros relacionados con clientes, aunque esto aún no ha sido confirmado.

Los analistas señalan que estas filtraciones suelen ser tácticas de presión en esquemas de doble extorsión, donde los atacantes cifran los datos y amenazan con publicarlos.

Analistas de Hackmanac identificaron el presunto ciberataque y emitieron una alerta temprana, señalando que las operaciones de fabricación de Nissan en Japón eran el principal objetivo y advirtiendo que el incidente sigue en proceso de verificación.

En cuanto al vector de ataque, la actividad parece alinearse con tácticas comunes usadas por grupos que priorizan el robo de datos y buscan acceso inicial a través de servicios remotos expuestos, credenciales VPN robadas o campañas de phishing.

Una vez dentro, los actores maliciosos suelen moverse lateralmente, mapear la red y buscar servidores de archivos, repositorios de código e infraestructura de copias de seguridad.

En muchos casos, despliegan scripts personalizados para automatizar la recolección y preparación de datos valiosos antes de su exfiltración.

Esto podría representar una página de muestra de filtración utilizada para mostrar archivos y directorios robados a posibles compradores o para presionar a la víctima.

Flujo de trabajo sospechoso de exfiltración de datos

Aunque los indicadores técnicos de este incidente específico en Nissan aún están surgiendo, el modus operandi general de Everest sugiere un proceso estructurado de exfiltración de datos que los defensores pueden estudiar y replicar en simulaciones de laboratorio.

Tras obtener acceso a un equipo comprometido, el malware o los scripts del atacante suelen enumerar recursos compartidos montados y unidades accesibles, creando una lista de objetivos como servidores financieros, repositorios de ingeniería y sistemas de gestión documental.

Una rutina simplificada de enumeración en PowerShell podría verse así:

Get-SmbShare | ForEach-Object {
    Get-ChildItem "\\$env:COMPUTERNAME\$_" -Recurse -ErrorAction SilentlyContinue |
        Where-Object { $_.Length -gt 5MB } |
        Out-File "C:\ProgramData\target_files.txt" -Append
}

En muchas campañas, los atacantes comprimen los datos preparados en archivos y los exfiltran mediante HTTPS o túneles de anonimización hacia servidores de comando y control, mezclándose a menudo con el tráfico saliente normal.