En primer lugar, en el resumen de esta semana, CTI analiza en profundidad un informe de Sophos sobre una nueva operación de «ransomware como servicio» (RaaS) que se aprovecha del nombre de la empresa para su propio beneficio. A continuación, se ofrece un análisis detallado de cómo el actor malicioso FIN8 , motivado por intereses económicos, está utilizando actualmente una puerta trasera Sardonic modificada para distribuir el ransomware BlackCat y maximizar sus beneficios. Por último, CTI analiza cómo están evolucionando los grupos chinos de ciberespionaje para reducir al mínimo la detección y dificultar la atribución.
1. El ransomware SophosEncrypt se hace pasar por la empresa de ciberseguridad Sophos
Un informe reciente de elaborado por la empresa de ciberseguridad Sophos, redactado en respuesta a un hallazgo hecho público mediante un tuit de July 17 publicado por MalwareHunterTeam, saca a la luz una nueva operación de ransomware como servicio (RaaS) denominada «SophosEncrypt», que se aprovecha del nombre de la empresa en su propio beneficio.
Al principio, según se informó, se creía que el ransomware formaba parte de un ejercicio de «equipo rojo» llevado a cabo por Sophos. Sin embargo, el equipo de Sophos X-Ops respondió rápidamente al tuit anterior, agradeciendo a MalwareHunterTeam por el aviso y revelando que sus investigadores ya habían detectado una muestra del ransomware en VirusTotal ese mismo día.
Según informa BleepingComputer , el servicio ID Ransomware de MalwareHunterTeam muestra un caso de una víctima infectada por el nuevo malware, lo que constituye un claro indicio de que la operación RaaS está activa. Aunque los investigadores aún saben poco sobre el funcionamiento de esta operación y su método de promoción, el equipo MalwareHunterTeam ha encontrado una muestra del cifrador, lo que les ha permitido «echar un vistazo rápido a su funcionamiento».
¿Qué es SophosEncrypt?
La nueva muestra en cuestión fue descubierta por un analista de Sophos X-Ops durante una búsqueda rutinaria en VirusTotal. El analista observó que la variante utiliza «Sophos» en la interfaz de usuario de un panel que emplea su ransomware para alertar a sus víctimas de que sus archivos han sido cifrados. Además, al parecer añadía a los archivos cifrados la extensión «.sophos».
En cuanto al archivo ejecutable del ransomware en sí, los investigadores de Sophos pudieron determinar que se compiló utilizando MinGW y que contiene bibliotecas de Rust vinculadas. Sophos también lo describe como «inusualmente retro» en cuanto a su funcionalidad.
De Sophos:
«En la mayoría de los incidentes de ransomware actuales, los autores de las amenazas que crean el ransomware desarrollan una herramienta diseñada explícita y exclusivamente con el fin de cifrar archivos, sin incluir muchas otras funcionalidades». La mayor parte del ransomware con el que nos enfrentamos hoy en día consiste en un ejecutable con un único propósito que no ofrece muchas capacidades adicionales, o ninguna.
«Según todos los indicios, los registros de VirusTotal sobre estos archivos parecen indicar —y nuestro análisis lo confirma— que una de las muestras es capaz de realizar muchas acciones más allá del cifrado de archivos, lo cual es inusual».
Los investigadores llegan incluso a afirmar que las capacidades de de los archivos del malware hacen que este se asemeje más a un troyano de acceso remoto (RAT) de uso general, dotado de la capacidad de cifrar archivos y generar notas de rescate, que a una variante típica y contemporánea de ransomware.
Entre dichas actividades se incluyen la interceptación del controlador del teclado para registrar las pulsaciones de teclas y la obtención de perfiles del sistema mediante comandos WMI. Sin embargo, al igual que muchas otras familias de ransomware, SophosEncrypt incluye una lista de directorios que se excluyen del cifrado (ya que, o bien impedirían que el sistema se iniciara, o bien contienen archivos sin importancia que se consideran innecesarios para cifrar). Y, al igual que tantas otras familias de ransomware, SophosEncrypt realiza la comprobación habitual de la configuración de idioma del sistema y se niega a ejecutarse si detecta que dicha configuración está establecida en ruso.
Para facilitar las negociaciones sobre el rescate, los desarrolladores del ransomware prefieren que sus víctimas utilicen métodos de comunicación en los que, en su mayor parte, ya no confían la mayoría de los grupos de ransomware actuales. Entre los ejemplos se incluyen el correo electrónico y la plataforma de mensajería instantánea Jabber.
Análisis de las diferencias entre muestras
El informe de Sophos hace referencia a otra muestra conocida que presenta en menor medida las características propias de programas que no son de tipo ransomware descritas anteriormente. Dicho esto, ambas variantes se conectan a través de Internet a un servidor de mando y control (C2), y la conexión hace referencia a una dirección Tor en la dark web (aunque Sophos admite que ninguna de las muestras analizadas estableció una conexión Tor).
Además, ambas muestras contienen una dirección IP predefinida a la que se conectan. Según Sophos, la dirección en cuestión lleva más de un año relacionada tanto con la actividad de Cobalt Strike C2 como con ataques automatizados que intentan infectar dispositivos conectados a la red pública con software de minería de criptomonedas.
Ambos ejemplos están diseñados para ejecutarse a través de la línea de comandos de Windows. Cuando se ejecuta en la aplicación «Símbolo del sistema», el ransomware solicita al operador del mismo que introduzca una cadena de datos que determina la configuración del comportamiento del malware, así como la nota de rescate que, en última instancia, se muestra en el dispositivo de la víctima.
Según Sophos, el programa también solicita a su usuario que introduzca una contraseña cifrada de 32 caracteres, seguida de lo que parece ser un token, así como una dirección de correo electrónico y la dirección de una cuenta de mensajería instantánea de Jabber. Una vez que el atacante ha introducido correctamente la información, el programa solicita al controlador que seleccione una de las siguientes opciones:
- Cifre todos los archivos del disco duro.
- Cifre una sola letra de unidad.
- Cierre el programa.
Si el atacante elige la primera o la segunda opción, el ransomware cambia el nombre de los archivos cifrados utilizando el valor del token en el nuevo nombre del archivo una vez finalizada la tarea de cifrado.
Tanto la dirección de correo electrónico como la dirección de Jabber indicadas se añaden a la nota de rescate, que se envía a la víctima en forma de archivo de aplicación HTML (.hta) que se coloca en cualquier directorio en el que se haya llevado a cabo con éxito el cifrado.
Este archivo se limita a mostrar la nota de rescate, junto con la información de contacto facilitada por el atacante durante la fase inicial del ataque.
Al igual que ocurre con la primera variante descrita anteriormente, el ransomware añade un identificador único del equipo, la dirección de correo electrónico introducida por el atacante durante la configuración y el sufijo «.sophos» al final del nombre de cada archivo que cifra al término del proceso.
Sophos señala asimismo que, si se interrumpe el proceso de cifrado, el ransomware no dejará ninguna nota de rescate ni cambiará la imagen de fondo de pantalla por la que está configurado para descargar del servidor público de imágenes. De lo contrario, suponiendo que el proceso de cifrado se desarrolle sin contratiempos, el ransomware obtiene una imagen de una página web de biblioteca de imágenes pública y la utiliza para modificar el fondo de pantalla del escritorio de Windows de la víctima, sustituyéndolo por una pantalla en la que se lee «Sophos». Es más, el banner de Sophos que ahora aparece en el escritorio de la víctima no reproduce con exactitud el logotipo, los colores ni la imagen de marca que utiliza la empresa legítima de ciberseguridad. En su lugar, a la víctima se le muestra un logotipo con la imagen de un candado verde, acompañado de instrucciones sobre cómo puede encontrar y utilizar la nota de rescate para ponerse en contacto con los atacantes e iniciar las negociaciones.
Registro de su propio rendimiento
Cuando SophosEncrypt se ejecuta en la consola, genera una lista exhaustiva en la que se detallan los resultados del registro de depuración e indica el tiempo que tarda en cifrar cada archivo en milisegundos. Curiosamente, el ransomware mostrará el mensaje «ÉXITO» incluso cuando la solución de seguridad Sophos Intercept X impida el cifrado de los archivos.
Al examinar las propiedades del archivo ejecutable del ransomware, se observa que se trata de «las versiones 0.0.8 y 0.0.9, respectivamente, del programa». «Ninguno de los dos archivos ejecutables está firmado, y ambos solicitan privilegios elevados a través del UAC al ejecutarse».
Acerca del token del ransomware
Tal y como explica Sophos, el token entra en juego cuando el ransomware lleva a cabo un pequeño análisis del sistema en el ordenador. Obtiene la dirección IP pública de la red del objetivo y realiza una solicitud HTTP POST a la dirección IP 179.43.154[.]137 en el puerto 21119/tcp, mediante la cual se transmiten el token y la información de perfil del ordenador. La sesión no está cifrada.
Si el servidor no acepta el valor del token, la aplicación mostrará un mensaje de error en la consola indicando que el token no es válido. En este momento, la aplicación se cerrará. Si el ransomware se ejecuta en un ordenador sin conexión a Internet, mostrará el mensaje «uso local del programa» y continuará con su funcionamiento, solicitando al usuario que introduzca una contraseña de 32 bytes y sus datos de contacto antes de proceder al cifrado.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«No es la primera vez que el nombre de una empresa de seguridad aparece en el malware de un adversario». No es una evolución sorprendente, ya que hemos observado cómo los autores de amenazas se hacen pasar por investigadores de seguridad y crean empresas de ciberseguridad falsas para atraer a piratas informáticos y recabar información.
Teniendo esto en cuenta, suplantar el software de una empresa de ciberseguridad parece el siguiente paso lógico. Según BleepingComputer, los investigadores siguen analizando SophosEncrypt para determinar si existe alguna vulnerabilidad que permita recuperar los archivos cifrados de forma gratuita.
2. FIN8 utiliza una puerta trasera «Sardonic» modificada para el ransomware BlackCat
Un nuevo informe de Symantec revela cómo el actor malicioso con motivaciones económicas FIN8 está utilizando una versión renovada de una puerta trasera denominada «Sardonic» para distribuir el ransomware BlackCat. Symantec’s researchers believe this development is FIN8’s attempt to diversify its focus and maximize profits.
Acerca de FIN8
- FIN8 es un grupo de ciberdelincuentes con motivaciones económicas que lleva en activo al menos desde January 2016. El grupo se centra en organizaciones de los sectores de la hostelería, el comercio minorista, el entretenimiento, los seguros, la tecnología, la industria química y las finanzas.
- Este grupo ha recurrido tradicionalmente a tácticas de «vivir de lo que ofrece el entorno», aprovechando herramientas integradas como PowerShell y WMI. Sus métodos de acceso iniciales preferidos son: (ingeniería social), y (spear phishing),.
- En un principio, FIN8 se especializó en ataques a puntos de venta (POS), pero desde entonces se ha observado que utiliza diferentes amenazas de ransomware en sus ataques. Por ejemplo, en June 2021, se observó que el grupo FIN8 estaba instalando el ransomware Ragnar Locker en dispositivos que había comprometido en una empresa de servicios financieros a principios de año. En el caso « January 2022», se observó que el grupo utilizaba el ransomware White Rabbit en sus ataques. Posteriormente, en December 2022, Symantec observó que el grupo intentaba utilizar el ransomware BlackCat en sus ataques.
Cómo utiliza FIN8 las puertas traseras
El grupo FIN8 tiene un historial de tomarse pausas prolongadas entre sus ataques, probablemente con el fin de mejorar sus tácticas, técnicas y procedimientos (TTP). En 2021, Bitdefender publicó detalles sobre la nueva puerta trasera « » Sardonic y la relacionó con FIN8. La puerta trasera «Sardonic» puede recopilar información del sistema y ejecutar comandos. Además, cuenta con un complemento para cargar y ejecutar cargas útiles de malware adicionales que se distribuyen en forma de archivos DLL.
El ataque « December 2022 » que observó Symantec utilizó una puerta trasera modificada para desplegar el ransomware BlackCat. Si bien la puerta trasera «Sardonic» utilizada en esta campaña comparte características con la puerta trasera analizada por Bitdefender, la mayor parte del código de esta ha sido reescrito, lo que le confiere un aspecto nuevo. En particular, el código ya no utilizaba la biblioteca estándar de C++, y la mayoría de las características orientadas a objetos se han sustituido por una implementación en C puro.
Actividad de los atacantes
Durante el incidente de « December 2022 », el autor de la amenaza se conectó mediante PsExec para ejecutar el comando «quser» y visualizar los detalles de la sesión. A continuación, ejecutó un comando adicional de PowerShell para activar la puerta trasera. El autor de la amenaza se conectó a la puerta trasera y comprobó los datos del ordenador afectado antes de ejecutar un comando para establecer la persistencia.
Al día siguiente, el autor de la amenaza se conectó a la puerta trasera, que ya era persistente, pero interrumpió su actividad tras ejecutar unos cuantos comandos sencillos. Treinta minutos más tarde, la actividad se reanudó y el autor de la amenaza utilizó el archivo «wmiexec.py» de Impacket para iniciar un proceso con el fin de poner en marcha una nueva puerta trasera. Esta nueva puerta trasera se utilizó durante las horas siguientes. El nuevo script de PowerShell para la puerta trasera utiliza un nuevo nombre de archivo y simplifica la línea de comandos al eliminar el argumento de la clave de descifrado.
Script de PowerShell
Una diferencia clave entre este ataque y los FIN8 ataques anteriores es la técnica utilizada para instalar la puerta trasera.
En este caso, la puerta trasera se integró de forma indirecta en un script de PowerShell y se utilizó para infectar los equipos de destino. El script de PowerShell de esta campaña consta de varios elementos clave. La primera línea del script tiene como objetivo eliminar el propio archivo de script de PowerShell. La segunda línea comprueba la arquitectura del proceso actual antes de seleccionar la versión de 32 bits o de 64 bits del cargador .NET codificado. La tercera línea descodifica el binario del cargador de .NET y lo carga en el proceso actual. La última línea de código inicia la funcionalidad principal del cargador, donde se descifran el inyector y la puerta trasera.
- .Cargador .NET: El cargador es un archivo DLL de .NET ofuscado y contiene dos blobs. Los blobs se descifran con el algoritmo RC4 utilizando una clave de descifrado predefinida antes de descomprimirlos. A continuación, los bloques descomprimidos se copian en un bloque continuo de memoria. A continuación, el cargador transfiere el control al segundo blob —el inyector— y le pasa como parámetros la ubicación en memoria y el tamaño del primer blob —la puerta trasera—.
- Injector: El injector tiene forma de shellcode. El objetivo de este inyector es activar la puerta trasera en un proceso WmiPrvSE.exe recién creado. Al crear este proceso, el inyector intentará iniciarlo en la sesión 0 utilizando un token que sustrae del proceso lsass.exe.
La puerta trasera «Sardonic»
La puerta trasera Sardonic también se presenta en forma de código de shell.
- Sesiones interactivas: Una característica interesante de esta puerta trasera está relacionada con las sesiones interactivas, en las que el atacante ejecuta cmd.exe u otros procesos interactivos en el dispositivo afectado. La muestra permite que se desarrollen hasta 10 sesiones al mismo tiempo. Al iniciar cada proceso concreto, el autor de la amenaza puede utilizar un token de proceso sustraído de un identificador de proceso específico, que varía en cada sesión.
- Extensiones: Otra característica destacable de la puerta trasera es que admite tres formatos diferentes para ampliar su funcionalidad. El primer formato consiste en complementos DLL de PE que la puerta trasera carga dentro de su propio proceso. El segundo formato que admite la puerta trasera es el de código shell, en el que cada complemento se ejecuta en su propio proceso dedicado. El tercer formato también adopta la forma de código de shell, pero con una convención diferente para pasar argumentos.
- Comunicación en red: Para comunicarse con su servidor de mando y control (C2), la puerta trasera intercambiará mensajes de tamaño variable utilizando la estructura que se indica a continuación. El tamaño del campo «body» puede determinarse a partir del contenido del campo «header».
- Mensaje inicial «»: Una vez que la puerta trasera se conecte a su servidor « C2 », enviará el mensaje inicial de 0x10C bytes con el valor del campo de encabezado « 0xFFFFFCC0 » (codificado de forma fija) y el campo de pie de página sin inicializar.
- talla es 0x80 para cada mensaje entrante cuyo valor del campo de encabezado sea 0xFFFFFE78 (fijado por código), y
- El tamaño del cuerpo es, sencillamente, el valor del campo de encabezado en todos los demás casos.
El contenido de los campos «body» y «footer» se cifra con RC4 utilizando rc4_key como clave de cifrado. La secuencia de claves se reutiliza al cifrar cada campo por separado.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
Es evidente que la “FIN8 sigue mejorando sus capacidades mediante el perfeccionamiento y la actualización de sus TTP. El hecho de que el grupo haya utilizado una puerta trasera «Sardonic» modificada varios meses después de la aparición de dicha puerta trasera constituye una prueba más de que se perfecciona y actualiza de forma habitual.
«Tal y como señala Symantec, el cambio de estrategia del grupo, que ha pasado de los ataques a terminales de punto de venta al despliegue de ransomware, pone de manifiesto su dedicación y su interés por maximizar los beneficios».
3. Los agentes de ciberespionaje chinos adaptan sus tácticas para evitar ser detectados
Mandiant está analizando las diversas formas en que los grupos chinos de ciberespionaje están evolucionando para reducir al mínimo las posibilidades de ser detectados y dificultar la atribución. Según su análisis, los grupos chinos están aprovechando vulnerabilidades de día cero, atacando routers y utilizando otros métodos para retransmitir y camuflar el tráfico interno y externo hacia las redes de sus víctimas.
China se centra en el software de redes, seguridad y virtualización
Mandiant considera que, en los casos 2021 y 2022, el ciberespionaje chino se centró en la explotación de vulnerabilidades «zero-day» relacionadas con las tecnologías de seguridad, redes y virtualización.
El hecho de centrarse en estos dispositivos ofrece numerosas ventajas tácticas a un actor malintencionado. Dado que los dispositivos de seguridad y de red son dispositivos periféricos —lo que significa que son accesibles desde Internet—, un actor malintencionado puede obtener acceso inicial a ellos sin necesidad de ninguna interacción humana. Esto reduce las posibilidades de ser detectado.
Tal y como señala Mandiant, los dispositivos periféricos y el software de virtualización pueden resultar más difíciles de supervisar. Es posible que algunas de ellas no sean compatibles con las soluciones EDR, lo que reduce aún más la probabilidad de detección. Dos campañas relativamente recientes ponen de relieve las estrategias destacadas que los actores maliciosos chinos han estado utilizando para maximizar su sigilo.
La Unidad UNC3886 aprovecha dos vulnerabilidades «zero-day» en operaciones complejas contra objetivos difíciles
Mandiant investigó incidentes en 2022 en los que el actor de ciberespionaje UNC3886 utilizó múltiples vías de ataque y dos vulnerabilidades de día cero para establecer persistencia y obtener acceso a entornos virtualizados. Este actor malicioso se centró principalmente en las bases industriales de defensa, las empresas tecnológicas y las organizaciones de telecomunicaciones de Estados Unidos y Asia.
Este actor malicioso limitó su presencia en las redes a los dispositivos de seguridad de Fortinet y a las tecnologías de virtualización de VMware, dispositivos y plataformas que, por lo general, carecen de soluciones EDR. El malware y los exploits personalizados del actor malicioso se centraban en eludir los registros y los controles de seguridad, y se encargaban de borrar y modificar dichos registros, así como de desactivar la verificación del sistema de archivos al iniciar el sistema.
UNC4841’s : la explotación de Barracuda ESG comienza de forma sigilosa y se vuelve agresiva
El presunto actor de ciberespionaje chino UNC4841 aprovechó una vulnerabilidad de día cero en los dispositivos Barracuda ESG durante una campaña dirigida tanto a organizaciones públicas como privadas de todo el mundo. En múltiples ocasiones, Mandiant observó indicios de que el autor buscaba datos de correo electrónico de interés antes de prepararlos para su sustracción.
El autor de la amenaza intentó ocultar aspectos de su actividad de diversas formas.
- El autor de la amenaza envió correos electrónicos con archivos TAR especialmente diseñados que aprovechaban la vulnerabilidad de Barracuda, lo que le permitía ejecutar comandos arbitrarios del sistema con los privilegios elevados del producto ESG.
- El grupo también desarrolló malware personalizado utilizando convenciones de nomenclatura similares a las de los archivos legítimos de ESG, antes de insertar código de puerta trasera personalizado en módulos legítimos de Barracuda.
- En algunos casos, el autor de la amenaza utilizó certificados SSL temporales legítimos y autofirmados que se incluyen en los dispositivos ESG con fines de configuración, junto con certificados sustraídos de los entornos de las víctimas, para ocultar el tráfico C2 .
El autor de la amenaza reaccionó de forma bastante agresiva ante las medidas correctivas y ante el hecho de que su actividad se hiciera pública. Tras la divulgación de la vulnerabilidad de Barracuda y la adopción de las primeras medidas correctivas, el actor malicioso reaccionó actuando con rapidez para modificar su malware personalizado, empleando mecanismos de persistencia adicionales y desplazándose lateralmente para mantener el acceso.
Ejemplos adicionales
Los dos incidentes descritos anteriormente no son más que una pequeña parte de una lista cada vez más extensa de campañas de ciberespionaje chinas que aprovechan vulnerabilidades de día cero en productos de seguridad y de redes.
- Mandiant informó de la explotación de CVE-2022-42475 (una vulnerabilidad en la VPN SSL FortiOS de Fortinet), y las primeras pruebas al respecto se remontan a October 2022.
- En December 2022, Citrix informó de que se estaba produciendo un ataque real (in-the-wild) al CVE-2022-27518 de su Application Delivery Controller (ADC), que la Agencia de Seguridad Nacional de EE. UU. (NSA) atribuyó a APT5.
- En March 2022, Sophos informó de la explotación activa de CVE-2022-1040 en su producto de cortafuegos, que Volexity relacionó con actores chinos dedicados al ciberespionaje.
- Mandiant investigó varias intrusiones que se produjeron entre el August 2020 y el March 2021 y que implicaron el aprovechamiento de la vulnerabilidad CVE-2021-22893 en las VPN de Pulse Secure.
- En el informe « March 2021», Mandiant identificó tres vulnerabilidades de día cero que se aprovecharon en el producto Email Security (ES) de SonicWall (CVE-2021-20021, CVE-2021-20022, CVE-2021-20023). “
Los actores chinos ocultan el tráfico externo e interno mediante redes de bots y túneles
Mandiant está detectando cada vez con mayor frecuencia casos de operaciones de ciberespionaje chino que aprovechan redes de bots formadas por dispositivos IoT, dispositivos inteligentes y routers comprometidos para camuflar el tráfico externo entre el entorno de la víctima y la infraestructura C2 .
Asimismo, observan cada vez con mayor frecuencia el uso de varias familias de malware capaces de retransmitir de forma encubierta el tráfico de los autores de las amenazas dentro de una red comprometida. Es probable que estas tácticas se utilicen para eludir la detección y dificultar la atribución.
Una red de bots como cortina de humo
Los investigadores han identificado varios ejemplos de grupos chinos de ciberespionaje que utilizan redes de bots para ocultar el tráfico entre el autor de la amenaza y la red de la víctima. Se observó que esta actividad la llevaban a cabo APT41, APT31, APT15, TEMP.hex, Volt Typhoon y otros.
Entre los ejemplos se incluyen:
- En « May 2023», Microsoft informó sobre la actividad de « » y «Volt Typhoon» dirigida contra organizaciones de infraestructuras críticas de EE. UU. El autor de la amenaza utilizó una red de bots compuesta por dispositivos SOHO comprometidos para enrutar su tráfico de red.
- En 2023, Check Point analizó al actor malicioso « » Camaro Dragon y su uso de una puerta trasera personalizada denominada «Horse Shell». Esta actividad se dirigió contra organizaciones europeas de asuntos exteriores y permitió al autor de la amenaza establecer un proxy SOCKS cifrado mediante SSH y transferir archivos.
- En 2022, PwC informó sobre el malware BPFDOOR, que recibía órdenes de un servidor VPS controlado por una red de routers comprometidos con sede en Taiwán. Mandiant considera que esta actividad está relacionada con la de APT41.
- PwC también informó de que había detectado el programa « » ( ) y de que este utilizaba una red de servidores proxy compartidos, denominada «RedRelay» en los informes 2021 y 2022. Al parecer, este grupo corresponde a los números APT15, APT25 y Ke3chang.
- Las autoridades francesas y estadounidenses han publicado informes en los que se pone de relieve cómo agentes respaldados por el Estado chino han utilizado dispositivos de red para desviar el tráfico entre la infraestructura C2 y las redes de las víctimas. El aviso 2022 de EE. UU. alertó sobre la vulnerabilidad « » en los dispositivos de almacenamiento conectados a la red (NAS) . El informe de la 2021 .ª División francesa describía una campaña concreta atribuida a la APT31.ª.
- ESET informó en February 2021 sobre su detección de una puerta trasera para Linux, denominada SideWalk, que se utilizó para comprometer la seguridad de una universidad de Hong Kong. Mandiant atribuye la mayor parte de esta actividad a APT41.
Mandiant también ha observado indicios de que presuntos operadores de ciberespionaje chinos están utilizando malware personalizado para camuflar el tráfico dentro de las redes de las víctimas mediante el secuestro de DNS, HTTP y TCP/IP.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La mayoría de las tácticas mencionadas anteriormente no son nuevas para los agentes de ciberespionaje chinos, ni son exclusivas de estos agentes. Mandiant ha recopilado esta información con el objetivo de poner de relieve cómo los agentes de ciberespionaje chinos utilizan estas tácticas como parte de una «evolución más amplia hacia operaciones más decididas, sigilosas y eficaces».
Los incidentes que Mandiant detalla anteriormente son, en su totalidad, campañas que han tenido éxito. «Esto indica que la inversión que estos actores están realizando en el desarrollo de nuevas tácticas, técnicas y procedimientos (TTP) para evitar ser detectados está dando sus frutos».
¿Tiene alguna reflexión sobre estas historias que desee compartir? Visite , , el foro de debate de Taniumy para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
