En Enero de este año, el grupo de análisis de amenazas de Google alertó sobre una campaña dirigida contra investigadores de seguridad de diferentes compañías.

Esta campaña, que fue atribuida a una entidad respaldada por el Gobierno de Corea del Norte, se habría iniciado los últimos meses del pasado año y habría continuado hasta las primeras semanas de Enero de 2021.

Pues bien, recientemente se ha descubierto que los mismos actores que la pusieron en marcha también lanzaron el pasado 17 de Marzo un sitio web de una supuesta empresa de seguridad ofensiva ubicada en Turquía y denominada «SecuriElite», para la cual crearon sus respectivos perfiles en redes sociales, algunos de los cuales se encuentran suspendidos en el momento de publicar este artículo.

Este sitio web, al igual que ocurrió con los sitios creados anteriormente por estos actores, cuenta con un enlace en el pie de página a su clave pública PGP, el cual, según lo detectado por los investigadores de Google el pasado mes de Enero, actuó como reclamo, siendo su objetivo real conseguir la visita a una web donde un exploit para el navegador esperaba para ser activado.

Sitios web y cuentas controladas por dichos actores

Sitio web:
http://www.securielite[.]com

Perfiles de Twitter
https://twitter.com/alexjoe9983
https://twitter.com/BenH3mmings
https://twitter.com/chape2002
https://twitter.com/julia0235
https://twitter.com/lookworld0821
https://twitter.com/osm4nd
https://twitter.com/seb_lazar
https://twitter.com/securielite

Perfiles de LinkedIn
SecuriElite – https://www.linkedin.com/company/securielite/
Carter Edwards, HR Director @ Trend Macro – https://www.linkedin.com/in/carter-edwards-a99138204/
Colton Perry, Security Researcher – https://www.linkedin.com/in/colton-perry-6a8059204/
Evely Burton, Technical Recruiter @ Malwarebytes – https://www.linkedin.com/in/evely-burton-204b29207/
Osman Demir, CEO @ SecuriElite – https://www.linkedin.com/in/osman-demir-307520209/
Piper Webster, Security Researcher – https://www.linkedin.com/in/piper-webster-192676203/
Sebastian Lazarescue, Security Researcher @ SecuriElite – https://www.linkedin.com/in/sebastian-lazarescue-456840209/

Emails
[email protected]
[email protected]
[email protected]

Otros dominios propiedad de los atacantes
bestwing[.]org
codebiogblog[.]com
coldpacific[.]com
cutesaucepuppy[.]com
devguardmap[.]org
hireproplus[.]com
hotelboard[.]org
mediterraneanroom[.]org
redeastbay[.]com
regclassboard[.]com
securielite[.]com
spotchannel02[.]com
wileprefgurad[.]net

Desde el blog de Google también informan de que, tras la publicación de principios de año donde hacían pública esta campaña contra investigadores de seguridad, identificaron que estos actores estaban haciendo uso de un exploit de día cero que afectaba al navegador Internet Explorer. Dicho esto, y aún no habiendo detectado a fecha de la presente publicación contenido malicioso en la web, sospechan que estos actores son peligrosos y que pueden conocer otros exploits de este tipo, por lo que piden a cualquier persona que descubre una vulnerabilidad en Chrome que informen de la misma a través de su programa de recompensas.

Más información:
Update on campaign targeting security researchers
https://blog.google/threat-analysis-group/update-campaign-targeting-security-researchers/amp/