#TheMask: la nueva y más compleja ciberamenaza es hispana (o vaya Careto que se les quedó a los de Kaspersky)

ozú mi arma, peazo malgüare!

El equipo de investigación de seguridad de Kaspersky ha revelado "una de las más avanzadas" amenazas de malware creadas hasta la fecha llamada Careto o "La máscara", nombre visto en uno de sus módulos junto con otros que parecen demostrar que ha sido programado por hispano-hablantes: además de "careto", en el código también se ha encontrado una clave de cifrado RC4 denominada "Caguen1aMar", una referencia al directorio "c:\Dev\CaretoPruebas3.0" y la cadena "Accept-Language: es".

Lo que hace especial al malware es que es extremadamente sofisticado, dicen que incluso más que Duqu, Flame o Gauss. Entre sus módulos podemos encontrar un backdoor muy avanzado, un rootkit, un bootkit, versiones de 32 y 64 bits de Windows, Mac OS X y Linux y posiblemente versiones para iPad/iPhone (Apple iOS) y Android.

Cuando está activo en un sistema, Careto puede interceptar el tráfico de red, las pulsaciones de teclado, las conversaciones de Skype, claves PGP, analizar el tráfico WiFi, obtener información de dispositivos Nokia, capturas de pantalla y supervisar todas las operaciones de archivo.

El malware recolecta una larga lista de documentos desde el sistema infectado, incluyendo claves de cifrado, configuraciones VPN, claves SSH y archivos RDP. Además de varias extensiones que son monitorizadas que podrían ser específicas de herramientas de cifrado militares o gubernamentales.

La campaña estuvo activa desde 2007 hasta enero de 2014, y actualmente los servidores C&C han sido cerrados. El principal método de propagación fue phishing mediante correos electrónicos falsos desde periódicos como "The Guardian", "The Washington Post", "El País", "El Mundo" o "Público" y los objetivos principales fueron instituciones gubernamentales, representaciones diplomáticas y embajadas, compañías de petróleo y gas, energía, instituciones de investigación, firmas de capital privado y activistas de alto perfil.

Las víctimas de este ataque dirigido se han encontrado en 31 países de todo el mundo que abarcan el Medio Oriente, el Reino Unido, Europa (incluyendo Alemania y Bélgica), así como en África y en los Estados Unidos.

Sospechan que proviene de una agencia o gobierno de habla hispana. ¿España? Podría ser... 

"Me cago en.... (fill in the blank with just about anything) is a very common swear expression in Spain, but not in other Spanish-speaking countries."

Fuentes:
- Unveiling “Careto” - The Masked APT
- Researchers uncover cyber spying campaign dubbed "The Mask" 
- Sophisticated Spy Tool ‘The Mask’ Rages Undetected for 7 Years
- New ‘Mask’ APT Campaign Called Most Sophisticated Yet
- The Careto/Mask APT: Frequently Asked Questions
- The Mask/Careto: APT de ciberespionaje que involucra diarios argentinos y españoles
- Descubierto el primer programa avanzado de espionaje informático de un gobierno hispanohablante
- Careto, el malware más sofisticado hasta la fecha... ¿de origen español?
- Infographic: The Mask malware victims
- Espionage malware may be state-sponsored, researchers say
- Meet "The Mask": Possibly world's most advanced computer spy outfit