Un grupo de hackers rusos intenta acceder a los mensajes de WhatsApp de ministros del mundo

Las amenazas comenzó a observarlas Microsoft el pasado noviembre de 2024. Según han explicado en una publicación en su página web, esta ocasión era la primera en la que se detectaba un cambio en las tácticas que emplea el grupo.

Noticia Relacionada

Apple desactiva su nueva herramienta de IA para resumir la actualidad

La firma californiana recibió una queja de la BBC tras haber lanzado información que ellos nunca habían publicado y en la que afirmaban que el asesino del CEO de UnitedHealth se había suicidado

En esta nueva campaña primero las víctimas reciben un mensaje de correo en el que se inicia el contacto con ellos. El remitente aparentemente es un funcionario del gobierno de Estados Unidos. En concreto, el grupo lo que quiere es hacerse pasar por personajes conocidos para engañar a sus objetivos.

En ese mensaje aparece un código QR que dirige en apariencia a una página para apoyar a las ONG de Ucrania. Como se rompe y no dirige a ningún sitio, la idea es que las víctimas respondan a ese correo. Posteriormente, les llega otro en el que aparece un enlace malicioso.

Si Star Blizzard consigue su objetivo, logrará acceder a los mensajes de WhatsApp de los afectados.

«Si quieren vincular su cuenta de WhatsApp a otro dispositivo solo debería hacerlo mediante servicios oficialmente admitidos por la aplicación. No a través de terceros. Solo deben pinchar en enlaces de personas que conocen y en quienes confían», ha dicho un portavoz de la compañía citado por 'The Guardian'.

Los principales objetivos del grupo de hackers rusos suelen pertenecer o estar relacionados a gobiernos, diplomacia, defensa, relaciones internacionales. Aunque también se ha dirigido a periodistas y otros actores como las ONG.

A WhatsApp spokesperson said: «If you want to link your WhatsApp account to a companion device, you should only do so by going to WhatsApp's officially supported services – and not through third-party websites. And no matter which service you're on, you should only click on links from people you know and trust.»

According to a blogpost by Microsoft, victims receive an email from an attacker impersonating a US government official, enticing the recipient to click on a QR code that gives the attacker access to their WhatsApp account. The code, instead of giving access to a WhatsApp group, connects an account to a linked device or the WhatsApp Web portal.

«The threat actor can gain access to the messages in their WhatsApp account and have the capability to exfiltrate this data,» said Microsoft.

Microsoft did not state whether data had been stolen successfully from targeted WhatsApp accounts.

It said the fake email was an invitation to join a WhatsApp group on «the latest non-governmental initiatives aimed at supporting Ukraine NGOs». As well as targeting ministers and officials in unnamed countries, the campaign has attempted to snare people involved in diplomacy, defence policy and international relations research related to Russia, as well as work related to helping Ukraine in its war with Russia.

In 2023, the NCSC said Star Blizzard had targeted British MPs, universities and journalists among others, in efforts to «interfere with UK politics and democracy». It described Star Blizzard as being «almost certainly subordinate» to the FSB's Centre 18 unit. As part of the 2023 announcement, the UK imposed sanctions on two Star Blizzard members including an officer in the FSB.

Microsoft said the WhatsApp campaign appeared to have been wound down in November but the shift in tactics by Star Blizzard underlined the unit's tenacity in using spear phishing – the term for targeting specific individuals or groups with malicious emails – to try to access sensitive information. The increasingly popular practice of using QR codes by cybercriminals is called «quishing» among the cybersecurity community.