{"id":2720,"date":"2023-06-02T11:03:53","date_gmt":"2023-06-02T14:03:53","guid":{"rendered":"https:\/\/itconnect.lat\/portal\/?p=2720"},"modified":"2024-12-17T18:09:29","modified_gmt":"2024-12-17T21:09:29","slug":"operacion-triangulacion-001","status":"publish","type":"post","link":"https:\/\/itconnect.lat\/portal\/operacion-triangulacion-001\/","title":{"rendered":"Operaci\u00f3n Triangulaci\u00f3n: KUMA descubre una campa\u00f1a APT 2023"},"content":{"rendered":"<h2>Mientras monitoreaban el tr\u00e1fico de red de su propia red Wi-Fi corporativa usando Kaspersky Unified Monitoring and Analysis Platform (KUMA), descubrieron una campa\u00f1a APT m\u00f3vil previamente desconocida dirigida a dispositivos iOS. Llamaron a esta campa\u00f1a &#8220;Operaci\u00f3n Triangulaci\u00f3n&#8221;.<\/h2>\n<p>Los objetivos se infectan mediante exploits de cero clics a trav\u00e9s de la plataforma iMessage, y el malware se ejecuta con privilegios de ra\u00edz, lo que les otorga un control total sobre los dispositivos y los datos de los usuarios.<\/p>\n<p>Esta es una investigaci\u00f3n en curso, la cantidad de material que recopilan es sustancial y tomar\u00e1 tiempo analizarlo.<\/p>\n<p>Dada la complejidad del ataque, est\u00e1n seguros de que no son los \u00fanicos objetivos e invitan a todos a unirse a la investigaci\u00f3n.<\/p>\n<p>Si tienen m\u00e1s detalles para compartir, comun\u00edquense con ellos a trav\u00e9s de la direcci\u00f3n de correo electr\u00f3nico triangulaci\u00f3n[at]kaspersky.com.<\/p>\n<p>Hasta ahora, se ha descubierto que las copias de seguridad de los dispositivos m\u00f3viles contienen una copia parcial del sistema de archivos, incluyendo algunos datos del usuario y las bases de datos del servicio.<\/p>\n<p>Las marcas de tiempo de los archivos, las carpetas y los registros de la base de datos permiten reconstruir aproximadamente los eventos que ocurren en el dispositivo.<\/p>\n<p>La herramienta &#8220;mvt-ios&#8221; genera una l\u00ednea de tiempo ordenada de eventos en un archivo llamado &#8220;timeline.csv&#8221;, similar a una l\u00ednea de tiempo utilizada en herramientas forenses digitales convencionales.<\/p>\n<p>Utilizando esta l\u00ednea de tiempo, se ha logrado identificar artefactos espec\u00edficos que indican un compromiso en los dispositivos.<\/p>\n<p>Esto ha permitido avanzar en la investigaci\u00f3n y reconstruir la secuencia general de infecci\u00f3n:<\/p>\n<ul>\n<li>Los dispositivos iOS de destino reciben un mensaje a trav\u00e9s del servicio iMessage, con un archivo adjunto que contiene un exploit. Sin ninguna interacci\u00f3n por parte del usuario, el mensaje activa una vulnerabilidad que resulta en la ejecuci\u00f3n de c\u00f3digo.<\/li>\n<li>El c\u00f3digo dentro del exploit descarga varias etapas adicionales desde el servidor C&amp;C, las cuales incluyen exploits adicionales para la escalada de privilegios.<\/li>\n<li>Tras una explotaci\u00f3n exitosa, se descarga una carga \u00fatil final desde el servidor C&amp;C, la cual es una plataforma APT completamente funcional.<\/li>\n<li>El mensaje inicial y el exploit en el archivo adjunto son eliminados.<\/li>\n<\/ul>\n<p>El conjunto de herramientas maliciosas no admite la persistencia, probablemente debido a las limitaciones del sistema operativo.<\/p>\n<p>Las l\u00edneas de tiempo de varios dispositivos indican que existe la posibilidad de reinfecci\u00f3n despu\u00e9s de reiniciar.<\/p>\n<p>Los rastros m\u00e1s antiguos de infecci\u00f3n descubiertos hasta ahora datan de 2019. A la fecha de este art\u00edculo, en junio de 2023, el ataque contin\u00faa y la versi\u00f3n m\u00e1s reciente de los dispositivos exitosamente atacados es iOS 15.7.<\/p>\n<p>El an\u00e1lisis de la carga \u00fatil final a\u00fan est\u00e1 en curso.<\/p>\n<p>El c\u00f3digo se ejecuta con privilegios de ra\u00edz y utiliza una serie de comandos para recopilar informaci\u00f3n tanto del usuario como del sistema.<\/p>\n<p>Adem\u00e1s, tiene la capacidad de ejecutar c\u00f3digo arbitrario descargado como m\u00f3dulos de complemento desde el servidor C&amp;C.<\/p>\n<h2 id=\"forensic-methodology\" data-gtm-vis-has-fired-11711842_122=\"1\">Metodolog\u00eda forense<\/h2>\n<p>Es importante tener en cuenta que, a pesar de que el malware incluye secciones de c\u00f3digo destinadas a borrar los rastros de compromiso, es posible identificar de manera confiable si un dispositivo ha sido comprometido.<\/p>\n<p>Adem\u00e1s, si se configur\u00f3 un nuevo dispositivo mediante la migraci\u00f3n de datos de usuario desde un dispositivo anterior, la copia de seguridad de iTunes de ese dispositivo contendr\u00e1 los rastros de compromiso que ocurrieron en ambos dispositivos, con las marcas de tiempo correctas.<\/p>\n<p>Esto proporciona una oportunidad para rastrear y analizar adecuadamente la actividad maliciosa en los dispositivos afectados.<\/p>\n<h3 id=\"preparation\" data-gtm-vis-has-fired-11711842_122=\"1\">Preparaci\u00f3n<\/h3>\n<p>Para asegurar todos los posibles dispositivos de destino, se recomienda realizar una copia de seguridad utilizando iTunes o la utilidad de c\u00f3digo abierto idevicebackup2 (del paquete libimobiledevice).<\/p>\n<p>Este \u00faltimo est\u00e1 disponible como un paquete preconstruido en las distribuciones de Linux m\u00e1s populares, o se puede compilar a partir del c\u00f3digo fuente para MacOS\/Linux.<\/p>\n<p>Para crear una copia de seguridad con idevicebackup2, se debe ejecutar el siguiente comando:<\/p>\n<div class=\"bg-black rounded-md mb-4\">\n<div class=\"p-4 overflow-y-auto\"><code class=\"!whitespace-pre hljs language-bash\">idevicebackup2 backup --full <span class=\"hljs-variable\">$directorio_de_copia_de_seguridad<\/span><\/code><\/div>\n<\/div>\n<p>Es posible que se solicite ingresar el c\u00f3digo de seguridad del dispositivo varias veces, y el proceso puede llevar varias horas, dependiendo de la cantidad de datos de usuario almacenados en el dispositivo.<\/p>\n<h3 id=\"install-mvt\" data-gtm-vis-has-fired-11711842_122=\"1\">Instalar MVT<\/h3>\n<p>Una vez que se ha realizado la copia de seguridad, esta debe ser procesada utilizando el kit de herramientas de verificaci\u00f3n m\u00f3vil (MVT). Si Python 3 est\u00e1 instalado en el sistema, se puede ejecutar el siguiente comando para instalar MVT:<\/p>\n<div class=\"bg-black rounded-md mb-4\">\n<div class=\"p-4 overflow-y-auto\"><code class=\"!whitespace-pre hljs\">pip install mvt<br \/>\n<\/code><\/div>\n<\/div>\n<p>Para obtener instrucciones m\u00e1s detalladas sobre la instalaci\u00f3n, se puede consultar el manual de instalaci\u00f3n completo disponible en la p\u00e1gina de inicio de MVT.<\/p>\n<h3 id=\"optional-decrypt-the-backup\" data-gtm-vis-has-fired-11711842_122=\"1\">Opcional: descifrar la copia de seguridad<\/h3>\n<p>Si el propietario del dispositivo configur\u00f3 el cifrado para la copia de seguridad previa, ser\u00e1 necesario descifrarla antes de realizar las comprobaciones. En ese caso, se puede utilizar el comando <code>mvt-ios decrypt-backup<\/code> para descifrar la copia de seguridad.<\/p>\n<p>El comando para descifrar la copia de seguridad ser\u00eda el siguiente:<\/p>\n<div class=\"bg-black rounded-md mb-4\">\n<div class=\"p-4 overflow-y-auto\"><code class=\"!whitespace-pre hljs language-bash\">mvt-ios decrypt-backup -d <span class=\"hljs-variable\">$directorio_de_copia_descifrada<\/span> <span class=\"hljs-variable\">$directorio_de_copia_de_seguridad<\/span><\/code><\/div>\n<\/div>\n<p>Reemplaza <code>$directorio_de_copia_descifrada<\/code> con el directorio en el que deseas guardar la copia de seguridad descifrada y <code>$directorio_de_copia_de_seguridad<\/code> con el directorio donde se encuentra la copia de seguridad cifrada.<\/p>\n<h3 id=\"parse-the-backup-using-mvt\" data-gtm-vis-has-fired-11711842_122=\"1\">Analizar la copia de seguridad usando MVT<\/h3>\n<p>Para ejecutar todas las comprobaciones de MVT y obtener el archivo &#8220;timeline.csv&#8221; utilizando el directorio de copia de seguridad descifrada, se puede utilizar el siguiente comando:<\/p>\n<div class=\"bg-black rounded-md mb-4\">\n<div class=\"p-4 overflow-y-auto\"><code class=\"!whitespace-pre hljs language-bash\">mvt-ios check-backup -o <span class=\"hljs-variable\">$directorio_de_salida_mvt<\/span> <span class=\"hljs-variable\">$directorio_de_copia_descifrada<\/span><br \/>\n<\/code><\/div>\n<\/div>\n<p>Reemplaza <code>$directorio_de_salida_mvt<\/code> con el directorio en el que deseas guardar los archivos de salida generados por MVT y <code>$directorio_de_copia_descifrada<\/code> con el directorio donde se encuentra la copia de seguridad descifrada.<\/p>\n<p>Despu\u00e9s de ejecutar este comando, el directorio de salida contendr\u00e1 varios archivos JSON y CSV, incluyendo el archivo &#8220;timeline.csv&#8221; que necesitar\u00e1s para la metodolog\u00eda descripta.<\/p>\n<h3 id=\"check-timeline-csv-for-indicators\" data-gtm-vis-has-fired-11711842_122=\"1\">Consulte timeline.csv para ver los indicadores<\/h3>\n<p>El indicador m\u00e1s confiable que se ha descubierto es la presencia de l\u00edneas de uso de datos que mencionan el proceso llamado &#8220;BackupAgent&#8221;.<\/p>\n<p>Este es un binario obsoleto que no deber\u00eda aparecer en la l\u00ednea de tiempo durante el uso regular del dispositivo. Sin embargo, es importante tener en cuenta que tambi\u00e9n existe un binario llamado &#8220;BackupAgent2&#8221;, el cual no es un indicador de compromiso.<\/p>\n<p>En muchos casos, el proceso &#8220;IMTransferAgent&#8221; precede a &#8220;BackupAgent&#8221;. Este proceso descarga el archivo adjunto que resulta ser un exploit, lo cual lleva a la modificaci\u00f3n de las marcas de tiempo en varios directorios dentro de &#8220;Library\/SMS\/Attachments&#8221;.<\/p>\n<p>Estos eventos indican la posible presencia de un compromiso.<\/p>\n<p>Es crucial tener en cuenta estos indicadores al analizar la l\u00ednea de tiempo y determinar si un dispositivo ha sido comprometido.<\/p>\n<p>Despu\u00e9s de la descarga del archivo adjunto, este es eliminado, dejando solo directorios modificados sin archivos reales dentro de ellos.<\/p>\n<p>A continuaci\u00f3n se muestra un ejemplo de l\u00edneas de tiempo que reflejan esta actividad:<\/p>\n<div class=\"bg-black rounded-md mb-4\">\n<div class=\"p-4 overflow-y-auto\"><code class=\"!whitespace-pre hljs language-yaml\"><span class=\"hljs-number\">2022-09-13 10:04:11.890351Z<\/span> <span class=\"hljs-string\">Datausage<\/span> <span class=\"hljs-string\">IMTransferAgent\/com.apple.datausage.messages<\/span> <span class=\"hljs-string\">(Bundle<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-string\">com.apple.datausage.messages,<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-number\">127<\/span><span class=\"hljs-string\">)<\/span> <span class=\"hljs-attr\">WIFI IN:<\/span> <span class=\"hljs-number\">0.0<\/span><span class=\"hljs-string\">,<\/span> <span class=\"hljs-attr\">WIFI OUT: 0.0 - WWAN IN:<\/span> <span class=\"hljs-number\">76281896.0<\/span><span class=\"hljs-string\">,<\/span> <span class=\"hljs-attr\">WWAN OUT:<\/span> <span class=\"hljs-number\">100956502.0<\/span><br \/>\n<span class=\"hljs-number\">2022-09-13 10:04:54.000000Z<\/span> <span class=\"hljs-string\">Manifest<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/65\/05<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-09-13 10:05:14.744570Z<\/span> <span class=\"hljs-string\">Datausage<\/span> <span class=\"hljs-string\">BackupAgent<\/span> <span class=\"hljs-string\">(Bundle<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-string\">,<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-number\">710<\/span><span class=\"hljs-string\">)<\/span> <span class=\"hljs-attr\">WIFI IN:<\/span> <span class=\"hljs-number\">0.0<\/span><span class=\"hljs-string\">,<\/span> <span class=\"hljs-attr\">WIFI OUT: 0.0 - WWAN IN:<\/span> <span class=\"hljs-number\">734459.0<\/span><span class=\"hljs-string\">,<\/span> <span class=\"hljs-attr\">WWAN OUT:<\/span> <span class=\"hljs-number\">287912.0<\/span><br \/>\n<\/code><\/div>\n<\/div>\n<p>&nbsp;<\/p>\n<p>Estas l\u00edneas de tiempo indican la actividad del proceso &#8220;IMTransferAgent&#8221; durante la descarga del archivo adjunto y la modificaci\u00f3n de los directorios correspondientes.<\/p>\n<p>El proceso &#8220;BackupAgent&#8221; tambi\u00e9n muestra actividad relacionada en t\u00e9rminos de uso de datos. Estos eventos pueden ser se\u00f1ales importantes para identificar un posible compromiso en el dispositivo.<\/p>\n<p>Adem\u00e1s de los indicadores m\u00e1s confiables, existen indicadores menos confiables que pueden considerarse como Indicadores de Compromiso (IOC) si ocurren varios de ellos en un corto per\u00edodo de tiempo, como minutos. Estos indicadores incluyen:<\/p>\n<p><strong>Modificaci\u00f3n de uno o varios archivos, como:<\/strong><\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>com.apple.ImageIO.plist<\/li>\n<li>com.apple.locationd.StatusBarIconManager.plist<\/li>\n<li>com.apple.imservice.ids.FaceTime.plist<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p><strong>Informaci\u00f3n de uso de datos de los servicios:<\/strong><\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>com.apple.WebKit.WebContent<\/li>\n<li>powerd\/com.apple.datausage.diagnostics<\/li>\n<li>lockdownd\/com.apple.datausage.security<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Si se detecta la presencia de varios de estos indicadores en un corto per\u00edodo de tiempo, puede ser una se\u00f1al adicional de compromiso en el dispositivo.<\/p>\n<p>Sin embargo, es importante tener en cuenta que estos indicadores son menos confiables que los mencionados anteriormente y se debe realizar un an\u00e1lisis m\u00e1s exhaustivo para confirmar el compromiso.<\/p>\n<p>Seg\u00fan las l\u00edneas de tiempo analizadas, se pueden observar los siguientes eventos:<\/p>\n<div class=\"bg-black rounded-md mb-4\">\n<div class=\"p-4 overflow-y-auto\"><code class=\"!whitespace-pre hljs language-yaml\"><span class=\"hljs-number\">2021-10-30 16:35:24.923368Z<\/span> <span class=\"hljs-string\">Datausage<\/span> <span class=\"hljs-string\">IMTransferAgent\/com.apple.MobileSMS<\/span> <span class=\"hljs-string\">(Bundle<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-string\">com.apple.MobileSMS,<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-number\">945<\/span><span class=\"hljs-string\">)<\/span> <span class=\"hljs-attr\">WIFI IN:<\/span> <span class=\"hljs-number\">0.0<\/span><span class=\"hljs-string\">,<\/span> <span class=\"hljs-attr\">WIFI OUT: 0.0 - WWAN IN:<\/span> <span class=\"hljs-number\">31933.0<\/span><span class=\"hljs-string\">,<\/span> <span class=\"hljs-attr\">WWAN OUT:<\/span> <span class=\"hljs-number\">104150.0<\/span><br \/>\n<span class=\"hljs-number\">2021-10-30 16:35:24.928030Z<\/span> <span class=\"hljs-string\">Datausage<\/span> <span class=\"hljs-string\">IMTransferAgent\/com.apple.MobileSMS<\/span> <span class=\"hljs-string\">(Bundle<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-string\">com.apple.MobileSMS,<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-number\">945<\/span><span class=\"hljs-string\">)<\/span><br \/>\n<span class=\"hljs-number\">2021-10-30 16:35:24.935920Z<\/span> <span class=\"hljs-string\">Datausage<\/span> <span class=\"hljs-string\">IMTransferAgent\/com.apple.datausage.messages<\/span> <span class=\"hljs-string\">(Bundle<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-string\">com.apple.datausage.messages,<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-number\">946<\/span><span class=\"hljs-string\">)<\/span> <span class=\"hljs-attr\">WIFI IN:<\/span> <span class=\"hljs-number\">0.0<\/span><span class=\"hljs-string\">,<\/span> <span class=\"hljs-attr\">WIFI OUT: 0.0 - WWAN IN:<\/span> <span class=\"hljs-number\">47743.0<\/span><span class=\"hljs-string\">,<\/span> <span class=\"hljs-attr\">WWAN OUT:<\/span> <span class=\"hljs-number\">6502.0<\/span><br \/>\n<span class=\"hljs-number\">2021-10-30 16:35:24.937976Z<\/span> <span class=\"hljs-string\">Datausage<\/span> <span class=\"hljs-string\">IMTransferAgent\/com.apple.datausage.messages<\/span> <span class=\"hljs-string\">(Bundle<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-string\">com.apple.datausage.messages,<\/span> <span class=\"hljs-attr\">ID:<\/span> <span class=\"hljs-number\">946<\/span><span class=\"hljs-string\">)<\/span><br \/>\n<span class=\"hljs-number\">2021-10-30 16:36:51.000000Z<\/span> <span class=\"hljs-string\">Manifest<\/span> <span class=\"hljs-string\">Library\/Preferences\/com.apple.locationd.StatusBarIconManager.plist<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">HomeDomain<\/span><br \/>\n<span class=\"hljs-number\">2021-10-30 16:36:51.000000Z<\/span> <span class=\"hljs-string\">Manifest<\/span> <span class=\"hljs-string\">Library\/Preferences\/com.apple.ImageIO.plist<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">RootDomain<\/span><br \/>\n<\/code><\/div>\n<\/div>\n<p>Estos eventos muestran que ha habido actividad en relaci\u00f3n con el proceso IMTransferAgent y los servicios MobileSMS y datausage.messages. Adem\u00e1s, se han modificado los archivos com.apple.locationd.StatusBarIconManager.plist y com.apple.ImageIO.plist.<\/p>\n<p>Teniendo en cuenta la ocurrencia simult\u00e1nea de estos eventos, podr\u00edan considerarse como indicios de compromiso en el dispositivo. Sin embargo, es importante realizar un an\u00e1lisis m\u00e1s detallado y considerar otros factores para confirmar cualquier sospecha de compromiso.<\/p>\n<p>Basado en los eventos analizados, se puede observar lo siguiente:<\/p>\n<div class=\"bg-black rounded-md mb-4\">\n<div class=\"p-4 overflow-y-auto\"><code class=\"!whitespace-pre hljs language-php-template\"><span class=\"xml\"><span class=\"hljs-tag\">&lt;<span class=\"hljs-name\">timestamp<\/span>&gt;<\/span> Modificaci\u00f3n de un directorio de archivos adjuntos de SMS (sin nombre de archivo adjunto)<br \/>\n<span class=\"hljs-tag\">&lt;<span class=\"hljs-name\">timestamp<\/span>&gt;<\/span> Uso de datos de com.apple.WebKit.WebContent<br \/>\n<span class=\"hljs-tag\">&lt;<span class=\"hljs-name\">timestamp<\/span>&gt;<\/span> Modificaci\u00f3n de com.apple.locationd.StatusBarIconManager.plist<br \/>\n<\/span><\/code><\/div>\n<\/div>\n<p>Estos eventos muestran una secuencia de actividad sospechosa en el dispositivo.<\/p>\n<p>La modificaci\u00f3n del directorio de archivos adjuntos de SMS, seguido del uso de datos de com.apple.WebKit.WebContent y, finalmente, la modificaci\u00f3n de com.apple.locationd.StatusBarIconManager.plist, dentro de un per\u00edodo de tiempo de 1 a 3 minutos, sugiere un posible compromiso exitoso a trav\u00e9s de un archivo adjunto de iMessage.<\/p>\n<p>Estos indicios respaldan la hip\u00f3tesis de que ha ocurrido una explotaci\u00f3n exitosa y que hay actividad maliciosa en el dispositivo. Es recomendable realizar un an\u00e1lisis forense m\u00e1s exhaustivo y tomar medidas de respuesta ante el incidente de seguridad.<\/p>\n<h3>Observemos la siguiente secuencia de actividad sospechosa:<\/h3>\n<div class=\"bg-black rounded-md mb-4\">\n<div class=\"p-4 overflow-y-auto\"><code class=\"!whitespace-pre hljs language-yaml\"><span class=\"hljs-number\">2022-09-11 19:52:56.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/98<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-09-11 19:52:56.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/98\/08<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-09-11 19:53:10.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/98\/08<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-09-11 19:54:51.698609Z<\/span> <span class=\"hljs-string\">Uso<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">datos<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">com.apple.WebKit.WebContent<\/span><br \/>\n<span class=\"hljs-number\">2022-09-11 19:54:51.702269Z<\/span> <span class=\"hljs-string\">Uso<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">datos<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">com.apple.WebKit.WebContent<\/span><br \/>\n<span class=\"hljs-number\">2022-09-11 19:54:53.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/Preferences\/com.apple.locationd.StatusBarIconManager.plist<\/span><br \/>\n<span class=\"hljs-number\">2022-06-26 18:21:36.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/ad\/13<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-06-26 18:21:36.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/ad<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-06-26 18:21:50.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/ad\/13<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-06-26 18:22:03.412817Z<\/span> <span class=\"hljs-string\">Uso<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">datos<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">com.apple.WebKit.WebContent<\/span><br \/>\n<span class=\"hljs-number\">2022-06-26 18:22:16.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/Preferences\/com.apple.ImageIO.plist<\/span><br \/>\n<span class=\"hljs-number\">2022-06-26 18:22:16.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/Preferences\/com.apple.locationd.StatusBarIconManager.plist<\/span><br \/>\n<span class=\"hljs-number\">2022-03-21 21:37:55.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/fc<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-03-21 21:37:55.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/fc\/12<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-03-21 21:38:08.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/SMS\/Attachments\/fc\/12<\/span> <span class=\"hljs-bullet\">-<\/span> <span class=\"hljs-string\">MediaDomain<\/span><br \/>\n<span class=\"hljs-number\">2022-03-21 21:38:23.901243Z<\/span> <span class=\"hljs-string\">Uso<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">datos<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">com.apple.WebKit.WebContent<\/span><br \/>\n<span class=\"hljs-number\">2022-03-21 21:38:24.000000Z<\/span> <span class=\"hljs-string\">Modificaci\u00f3n<\/span> <span class=\"hljs-string\">de<\/span> <span class=\"hljs-string\">Library\/Preferences\/com.apple.locationd.StatusBarIconManager.plist<\/span><br \/>\n<\/code><\/div>\n<\/div>\n<p>Estos eventos indican la modificaci\u00f3n de directorios de archivos adjuntos de SMS, uso de datos de com.apple.WebKit.WebContent y modificaciones de archivos de preferencias.<\/p>\n<p style=\"text-align: justify;\">La secuencia de actividad ocurre dentro de un per\u00edodo de tiempo de minutos, lo cual es indicativo de un posible compromiso exitoso a trav\u00e9s de un archivo adjunto de iMessage, seguido de actividad maliciosa relacionada.<\/p>\n<figure id=\"attachment_2725\" aria-describedby=\"caption-attachment-2725\" style=\"width: 400px\" class=\"wp-caption alignleft\"><a href=\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Operacion-Triangulacion-1-e1685714495674.webp\"><img loading=\"lazy\" decoding=\"async\" class=\"size-full wp-image-2725\" src=\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Operacion-Triangulacion-1-e1685714495674.webp\" alt=\"Operaci\u00f3n Triangulaci\u00f3n\" width=\"400\" height=\"400\" title=\"\" srcset=\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Operacion-Triangulacion-1-e1685714495674.webp 400w, https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Operacion-Triangulacion-1-e1685714495674-300x300.webp 300w, https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Operacion-Triangulacion-1-e1685714495674-150x150.webp 150w\" sizes=\"auto, (max-width: 400px) 100vw, 400px\" \/><\/a><figcaption id=\"caption-attachment-2725\" class=\"wp-caption-text\">Operaci\u00f3n Triangulaci\u00f3n<\/figcaption><\/figure>\n<p style=\"text-align: justify;\">Es importante investigar m\u00e1s a fondo estos eventos y tomar medidas adecuadas para responder al incidente de seguridad.<\/p>\n<p style=\"text-align: justify;\">La imposibilidad de instalar actualizaciones de iOS puede ser otro indicador de compromiso si se detecta junto con otros eventos sospechosos.<\/p>\n<p style=\"text-align: justify;\">En este caso, la modificaci\u00f3n del archivo de configuraci\u00f3n com.apple.softwareupdateservicesd.plist y los errores al intentar descargar iOS son se\u00f1ales de que se ha interferido con el proceso de actualizaci\u00f3n del sistema.<\/p>\n<p style=\"text-align: justify;\">Es importante investigar m\u00e1s a fondo este comportamiento an\u00f3malo y tomar medidas inmediatas para abordar el compromiso de seguridad.<\/p>\n<p style=\"text-align: justify;\">Se recomienda buscar asistencia t\u00e9cnica especializada o ponerse en contacto con el soporte de Apple para obtener orientaci\u00f3n espec\u00edfica sobre c\u00f3mo manejar esta situaci\u00f3n.<\/p>\n<h2 id=\"network-activity-during-exploitation\" data-gtm-vis-has-fired-11711842_122=\"1\">Actividad de la red durante la explotaci\u00f3n<\/h2>\n<p>Identificar la secuencia de eventos de conexi\u00f3n HTTPS en el nivel de red puede ser una forma efectiva de detectar un intento de explotaci\u00f3n exitoso. Al monitorear y analizar los datos de flujo de red, enriquecidos con informaci\u00f3n de host DNS\/TLS o volcados de PCAP, es posible identificar patrones sospechosos que indican una actividad maliciosa.<\/p>\n<p>Los siguientes eventos de conexi\u00f3n pueden ser indicadores de compromiso:<\/p>\n<ol>\n<li><strong>Interacci\u00f3n de red leg\u00edtima<\/strong> con el servicio de iMessage utilizando nombres de dominio como *.ess.apple.com. Esta es una comunicaci\u00f3n regular con el servicio de iMessage y no es necesariamente indicativa de un compromiso.<\/li>\n<li><strong>Descarga del archivo adjunto de iMessage<\/strong> utilizando nombres de dominio como .icloud-content.com o content.icloud.com. Este evento indica la descarga del archivo adjunto del mensaje y puede considerarse como parte de la actividad regular de iMessage.<\/li>\n<li><strong>M\u00faltiples conexiones a dominios de C&amp;C<\/strong> (Comando y Control). La presencia de m\u00faltiples conexiones a dominios de C&amp;C, especialmente a dos dominios diferentes, puede ser un indicio de una actividad maliciosa. Los dominios de C&amp;C son utilizados por los atacantes para controlar y comunicarse con los dispositivos comprometidos. El tr\u00e1fico saliente significativo hacia estos dominios puede ser una se\u00f1al de una posible explotaci\u00f3n exitosa.<\/li>\n<\/ol>\n<p>Es importante destacar que estos eventos de conexi\u00f3n en la red deben ser analizados en conjunto con otros indicadores de compromiso y eventos sospechosos mencionados anteriormente para obtener una imagen m\u00e1s completa de la situaci\u00f3n.<\/p>\n<p>El an\u00e1lisis de los datos de flujo de red y la colaboraci\u00f3n con expertos en seguridad pueden ayudar a detectar y mitigar el impacto de un ataque.<\/p>\n<figure id=\"attachment_2721\" aria-describedby=\"caption-attachment-2721\" style=\"width: 600px\" class=\"wp-caption aligncenter\"><a href=\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Operacion-Triangulacion-e1685713005825.webp\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-2721 size-full\" src=\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Operacion-Triangulacion-e1685713005825.webp\" alt=\"Operaci\u00f3n Triangulaci\u00f3n - Secuencia de explotaci\u00f3n de red, volcado de Wireshark\" width=\"600\" height=\"282\" title=\"\" srcset=\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Operacion-Triangulacion-e1685713005825.webp 600w, https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Operacion-Triangulacion-e1685713005825-300x141.webp 300w\" sizes=\"auto, (max-width: 600px) 100vw, 600px\" \/><\/a><figcaption id=\"caption-attachment-2721\" class=\"wp-caption-text\">Operaci\u00f3n Triangulaci\u00f3n &#8211; Secuencia de explotaci\u00f3n de red, volcado de Wireshark<\/figcaption><\/figure>\n<p>Si el archivo adjunto de iMessage est\u00e1 encriptado y se descarga a trav\u00e9s de HTTPS, puede ser dif\u00edcil obtener informaci\u00f3n espec\u00edfica sobre el contenido del archivo adjunto.<\/p>\n<p>Sin embargo, si observas una transferencia de datos a trav\u00e9s de HTTPS con un tama\u00f1o constante de aproximadamente 242 Kb en varias conexiones, podr\u00eda indicar un patr\u00f3n sospechoso que merece una mayor investigaci\u00f3n.<\/p>\n<p>Si la cantidad de datos descargados se mantiene constante y ocurre en m\u00faltiples conexiones, esto podr\u00eda sugerir un comportamiento an\u00f3malo.<\/p>\n<p>Aunque no proporciona informaci\u00f3n sobre el contenido espec\u00edfico del archivo adjunto, este patr\u00f3n puede ser un indicador impl\u00edcito de actividad maliciosa, especialmente si se combina con otros eventos sospechosos mencionados anteriormente, como modificaciones de archivos, uso de datos inusual o errores en la actualizaci\u00f3n del software.<\/p>\n<p>Es importante tener en cuenta que estos indicios impl\u00edcitos pueden variar seg\u00fan el contexto y la configuraci\u00f3n espec\u00edfica del sistema. Por lo tanto, es recomendable realizar un an\u00e1lisis exhaustivo y contar con el apoyo de expertos en seguridad para evaluar adecuadamente la situaci\u00f3n y tomar las medidas adecuadas para proteger el dispositivo o la red.<\/p>\n<figure id=\"attachment_2722\" aria-describedby=\"caption-attachment-2722\" style=\"width: 600px\" class=\"wp-caption aligncenter\"><a href=\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Archivo-adjunto-de-iMessage-cifrado-volcado-de-Wireshark-e1685713377489.webp\"><img loading=\"lazy\" decoding=\"async\" class=\"size-full wp-image-2722\" src=\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Archivo-adjunto-de-iMessage-cifrado-volcado-de-Wireshark-e1685713377489.webp\" alt=\"Operaci\u00f3n Triangulaci\u00f3n - Archivo adjunto de iMessage cifrado, volcado de Wireshark\" width=\"600\" height=\"566\" title=\"\" srcset=\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Archivo-adjunto-de-iMessage-cifrado-volcado-de-Wireshark-e1685713377489.webp 600w, https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Archivo-adjunto-de-iMessage-cifrado-volcado-de-Wireshark-e1685713377489-300x283.webp 300w\" sizes=\"auto, (max-width: 600px) 100vw, 600px\" \/><\/a><figcaption id=\"caption-attachment-2722\" class=\"wp-caption-text\">Operaci\u00f3n Triangulaci\u00f3n &#8211; Archivo adjunto de iMessage cifrado, volcado de Wireshark<\/figcaption><\/figure>\n<h2 id=\"cc-domains\" data-gtm-vis-has-fired-11711842_122=\"1\">Dominios C&amp;C<\/h2>\n<p>Utilizando los artefactos forenses, fue posible identificar el conjunto de nombres de dominio utilizados por los exploits y otras etapas maliciosas.<\/p>\n<p>Se pueden usar para verificar los registros de DNS en busca de informaci\u00f3n hist\u00f3rica y para identificar los dispositivos que actualmente ejecutan el malware:<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>addatamarket[.]net<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>backuprabbit[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>businessvideonews[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>cloudsponcer[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>datamarketplace[.]net<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>mobilegamerstats[ .]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>snoweeanalytics[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>tagclick-cdn[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>topographyupdates[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>unlimitedteacup[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>virtuallaughing[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>web-trackers[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>growthtransport[.]com<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>anstv[.]net<br data-gtm-vis-has-fired-11711842_122=\"1\" \/>ans7tv[. ]neto<\/p>\n<p>Esos nombres de dominio pueden ser utilizados como indicadores para verificar los registros de DNS en busca de informaci\u00f3n hist\u00f3rica y para identificar los dispositivos que actualmente ejecutan el malware.<\/p>\n<p>Al revisar los registros de DNS, es posible rastrear la actividad pasada de esos dominios y determinar si han estado relacionados con actividades maliciosas.<\/p>\n<p>Tambi\u00e9n puedes utilizar estos nombres de dominio como una lista de bloqueo en tu red o en sistemas de seguridad para evitar la comunicaci\u00f3n con los servidores maliciosos.<\/p>\n<p>Al bloquear el acceso a esos dominios, se reduce la posibilidad de que los dispositivos infectados se comuniquen con el servidor de comando y control (C&amp;C) y se impide que se realicen actividades adicionales de compromiso.<\/p>\n<p>Recuerda que la lista de nombres de dominio proporcionada puede cambiar con el tiempo, ya que los atacantes pueden modificar su infraestructura para evadir la detecci\u00f3n.<\/p>\n<p>Por lo tanto, es recomendable mantenerse actualizado sobre las \u00faltimas amenazas y utilizar soluciones de seguridad confiables para proteger los dispositivos y la red.<\/p>\n<p>&nbsp;<\/p>\n<h4>Por Marcelo Lozano &#8211; General Publisher IT CONNECT LATAM<\/h4>\n<p>&nbsp;<\/p>\n<h5>Lea m\u00e1s sobre Ciberseguridad en;<\/h5>\n<p>&nbsp;<\/p>\n<h6><a href=\"https:\/\/itconnect.lat\/portal\/netskope-intelligent-sse-001\/\">Netskope Intelligent SSE + Amazon Security: Amenazas en entornos h\u00edbridos 2023<\/a><\/h6>\n<h6><a href=\"https:\/\/itconnect.lat\/portal\/dark-pink-001\/\">Dark Pink vuelve con fuerza: 5 nuevas organizaciones en 3 pa\u00edses<\/a><\/h6>\n<h6><a href=\"https:\/\/itconnect.lat\/portal\/check-point-001\/\">Check Point Harmony detecta ataques BEC 3.0<\/a><\/h6>\n<h6><a href=\"https:\/\/itconnect.lat\/portal\/ciberseguridad-en-alerta-001\/\">Ciberseguridad en alerta 2023: Revelaci\u00f3n impactante de TI<\/a><\/h6>\n<h6><a href=\"https:\/\/itconnect.lat\/portal\/mcna-insurance-company-001\/\">MCNA Insurance Company: se filtraron 9 millones de datos<\/a><\/h6>\n<p><span style=\"color: #ffffff;\">Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n,\u00a0<\/span><\/p>\n<p><span style=\"color: #ffffff;\">Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n, Operaci\u00f3n Triangulaci\u00f3n,\u00a0<\/span><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Mientras monitoreaban el tr\u00e1fico de red de su propia red Wi-Fi corporativa usando Kaspersky Unified Monitoring and Analysis Platform (KUMA), descubrieron una campa\u00f1a APT m\u00f3vil previamente desconocida dirigida a dispositivos iOS. Llamaron a esta campa\u00f1a &#8220;Operaci\u00f3n Triangulaci\u00f3n&#8221;. Los objetivos se infectan mediante exploits de cero clics a trav\u00e9s de la plataforma iMessage, y el malware [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":2726,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"default","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"default","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[58],"tags":[2803,2800,2801,2799,186,2802,1871,2804],"class_list":["post-2720","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad","tag-ataques-dirigidos","tag-espionaje-cibernetico","tag-forense-digital","tag-ios-de-apple","tag-kaspersky","tag-malware-movil","tag-robo-de-datos","tag-vulnerabilidades-y-exploits"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/posts\/2720","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/comments?post=2720"}],"version-history":[{"count":4,"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/posts\/2720\/revisions"}],"predecessor-version":[{"id":6226,"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/posts\/2720\/revisions\/6226"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/media\/2726"}],"wp:attachment":[{"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/media?parent=2720"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/categories?post=2720"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/itconnect.lat\/portal\/wp-json\/wp\/v2\/tags?post=2720"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}