ESET, la mayor empresa de ciberseguridad de la Unión Europea, ha anunciado que sus investigadores han descubierto un backdoor modular utilizada por el grupo de ciberdelincuentes Winnti y que estaba siendo utilizado contra varias compañías de desarrollo de videojuegos multijugador online (MMO) de Taiwán y Corea del Sur, pero cuyos juegos tienen presencia en todo el mundo a través de las plataformas más populares. ESET ha denominado PipeMon a este nuevo malware.
En al menos uno de los casos, los atacantes comprometían el servidor de organización de los sistemas de la compañía, con lo que eran capaces de tomar el control de los sistemas de desarrollo automatizado de la víctima. Con esto, sería posible troyanizar los ejecutables de los videojuegos. “Sin embargo, no tenemos constancia de que esto haya ocurrido”, asegura Mathieu Tartare, investigador de malware en ESET. En otro de los casos, los operadores comprometían los servidores de juegos de la compañía, con lo que era posible manipular los sistemas de pago usados dentro de los juegos para conseguir ganancias financieras. ESET ha contactado con las compañías afectadas y les ha ofrecido información y asistencia para solucionar estos problemas de seguridad.
“Existen suficientes indicadores como para atribuir esta campaña al grupo Winnti. Algunos de los dominios de mando y control utilizados por PipeMon fueron utilizados previamente en otras campañas del grupo. Además, en 2019 se encontró otra variante del malware Winnti en las mismas compañías en las que hemos encontrado PipeMon ahora”, afirma Tartare.
El nuevo backdoor modular está firmado con un certificado probablemente robado en una campaña previa y comparte similitudes con el backdoor PortReuse. “Este descubrimiento nos hace ver que los atacantes están desarrollando nuevas herramientas de forma activa y que utilizan diferentes proyectos de código abierto, es decir, que no confían solamente en sus propios backdoors principales, ShadowPad y Winnti”, añade Tartare. ESET ha descubierto dos variantes diferentes de PipeMon.
El grupo Winnti está activo al menos desde 2012 y es el responsable de ataques de alto nivel a la cadena de suministro de empresas de software y de desarrollo de videojuegos, entre los que destaca la distribución de software troyanizado (como sucedió con CCleaner, ASUS LiveUpdate o con diferentes videojuegos). Los investigadores de ESET también han descubierto recientemente una campaña basada en ShadowPad y en el malware Winnti que afectaba a varias universidades de Hong Kong.
