Esta semana, CTI investiga un grupo de espionaje chino conocido como «Silk Typhoon», que actualmente tiene como objetivo las soluciones informáticas para obtener acceso inicial. A continuación, CTI analiza una campaña en la que los autores de las amenazas envían notas de rescate falsas a los ejecutivos a través del correo postal. Por último, CTI analiza una campaña de phishing de tipo « » al estilo de ClickFix (se abre en una nueva pestaña) cuyo objetivo es instalar un agente Havoc Demon modificado.
Silk Typhoon cambia de estrategia
Microsoft ha observado recientemente (se abre en una nueva pestaña) un cambio en los objetivos y en las tácticas, técnicas y procedimientos (TTP) del grupo Silk Typhoon, una organización de espionaje china. El grupo está reorientando su estrategia para centrarse en servicios informáticos comunes, entre los que se incluyen herramientas de gestión remota y aplicaciones en la nube, con el fin de obtener un acceso inicial.
Por ejemplo, el grupo hace un uso indebido de claves API y credenciales sustraídas —en concreto, aquellas relacionadas con la gestión de acceso privilegiado (PAM), los proveedores de aplicaciones en la nube y las empresas de gestión de datos en la nube— para comprometer las cadenas de suministro (se abre en una nueva pestaña).
Asimismo, se observó que el grupo llevaba a cabo varias acciones posteriores al robo que le permitían infiltrarse aún más y aprovechar las cadenas de suministro comprometidas, lo que provocaba repercusiones más amplias en múltiples organizaciones, entre ellas:
- Acceso a los clientes o inquilinos de la fase posterior de la cadena de suministro
- Utilizar el acceso para llevar a cabo actividades de reconocimiento con fines de espionaje
- Restablecimiento de las cuentas de administrador predeterminadas
- Instalación de «web shells»
- Creación de usuarios adicionales
Según Microsoft, las víctimas de esta actividad de ataque secundario procedían principalmente de , de las administraciones estatales y locales (se abre en una nueva pestaña) y del sector de las tecnologías de la información.
¿Quién es Silk Typhoon?
Silk Typhoon es un grupo chino de ciberespionaje que lleva en activo al menos desde el año 2020. Según Microsoft, se sabe que este grupo «pone rápidamente en práctica exploits para las vulnerabilidades de día cero descubiertas en (se abre en una nueva pestaña) en dispositivos periféricos».
Este grupo, anteriormente conocido como «Hafnium», tiene como objetivo principal a organizaciones de Estados Unidos de diversos sectores, entre los que se incluyen tecnología (se abre en una nueva pestaña), organismos gubernamentales y otros.
Tal y como señala Microsoft, este grupo es increíblemente sofisticado y «cuenta con una de las mayores huellas de ataques entre los actores maliciosos chinos». Este amplio alcance se debe principalmente al enfoque oportunista del grupo, que consiste en seleccionar a posibles víctimas a partir de operaciones de análisis de vulnerabilidades. Este grupo ha demostrado su conocimiento de los entornos en la nube gracias a su capacidad para trabajar con éxito en ellos.
Ataques de «spray» de contraseñas y uso indebido
Microsoft también observó que este actor conseguía acceso inicial mediante ataques de «password spray» y otras técnicas relacionadas con las contraseñas.
El actor llevará a cabo actividades de reconocimiento utilizando contraseñas corporativas filtradas.
TTP recientes
En los recientes ataques de Silk Typhoon, el actor consigue el acceso inicial creando exploits de día cero o identificando y atacando instancias de servicios vulnerables. El actor parece centrarse en atacar a proveedores de TI, gestión de identidades (se abre en una nueva pestaña), gestión de acceso privilegiado y soluciones de RMM. En el informe « January 2025», Microsoft observó que el actor aprovechaba específicamente una vulnerabilidad de día cero en la VPN Pulse Connect de Ivanti.
Se sabe que, tras obtener el acceso inicial, el atacante recurre a tácticas habituales para pasar del entorno local a la nube. Para ello, se observa cómo el actor extrae un archivo « » de Active Directory (se abre en una nueva pestaña), sustrae contraseñas de los almacenes de claves y amplía sus privilegios. Microsoft también ha observado que, en esta fase del ataque, el autor ha dirigido sus acciones contra los servidores de Microsoft AAD Connect (Entra Connect).
Se observó que el grupo hacía un uso indebido de los principales de servicio y las aplicaciones OAuth para extraer datos de correo electrónico, OneDrive y SharePoint a través de MSGraph. Además, Microsoft ha detectado casos en los que Silk Typhoon ha comprometido aplicaciones multitenant. Además, se sabe que este grupo recurre a redes clandestinas para ocultar sus actividades maliciosas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Una conclusión clave es que los atacantes se están dando cuenta de lo beneficioso que resulta para ellos atacar a una organización que cuenta con clientes finales, lo que les permite ampliar aún más el alcance de la intrusión y aumenta considerablemente la amenaza.
Además, Silk Typhoon no utiliza una infraestructura específica. En cambio, el grupo utilizará redes comprometidas, servidores proxy, etc., lo que les facilitará camuflar sus actividades maliciosas entre operaciones legítimas. Esto, sumado a la estrategia de selección de objetivos oportunista del grupo, convierte sin duda a Silk Typhoon en una organización a la que hay que seguir de cerca. También es posible que empecemos a observar cómo otros actores imitan los objetivos y las tácticas, técnicas y procedimientos (TTP) de Silk Typhoon.
Microsoft ha compartido recomendaciones útiles (se abre en una nueva pestaña), así como directrices de investigación, consultas y diversas alertas de Defender que pueden ayudar a identificar actividades relacionadas.
Los ciberdelincuentes se dirigen a los ejecutivos mediante notas de rescate físicas
GuidePoint Security ha recibido varias notificaciones (se abre en una nueva pestaña) procedentes de diversas organizaciones en relación con una nota de rescate falsa que se está enviando por correo postal. Estas cartas se envían desde direcciones de EE. UU. a los directivos e incluyen detalles que suelen figurar en las notas de rescate recibidas por vía digital.
¿Qué contiene la carta de rescate falsa?
El contenido de cada carta se asemeja al de las notas de rescate que suelen dejarse en los dispositivos afectados. En la primera parte de la carta se afirma que el autor logró acceder a los sistemas corporativos de la víctima y ha ido sustrayendo poco a poco información confidencial. Al igual que ocurre con la mayoría de las notas de rescate, esta carta solicita al destinatario que realice un pago. En este caso, el pago se solicita en forma de Bitcoin e incluye un código QR con la dirección del monedero. GuidePoint ha detectado demandas de rescate que oscilan entre 250,000 y 350,000 dólares.
Los sobres llevan la indicación «URGENTE: LÉASE INMEDIATAMENTE» e incluyen un sello «Forever» con la bandera estadounidense.
Indicadores de una nota de rescate
El autor de la carta afirma estar vinculado al grupo « » BianLian: (se abre en una nueva pestaña). No obstante, GuidePoint considera que esta carta no procede del grupo legítimo BianLian.
El indicio más dudoso es el hecho de que esta sería la primera vez que un grupo de ransomware envía una carta de rescate en papel. Además, la redacción y el contenido de la carta difieren de las notas de rescate enviadas anteriormente por BianLian, ya que en esta ocasión el inglés es casi perfecto y las estructuras sintácticas son complejas.
Otra diferencia notable es que esta carta no ofrece ninguna forma de negociar el rescate ni de ponerse en contacto con el autor a través del correo electrónico o la dark web. Por último, GuidePoint informa de que las direcciones de las carteras de Bitcoin eran de nueva creación y no estaban vinculadas previamente a ningún grupo.
[Lea también: El arte de la negociación en casos de ransomware] (se abre en una nueva pestaña)
Lo más importante es que GuidePoint señala que «en los casos en los que hemos constatado el envío de estas cartas, no hemos observado ninguna actividad de intrusión, ya sea confirmada o sospechosa, que refleje operaciones de ransomware».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Resulta extraño observar cómo los autores de amenazas están volviendo a recurrir a técnicas muy básicas y anticuadas, como el envío de notas por correo postal. Por lo general, los autores de amenazas envían memorias USB por correo postal que, al conectarlas a un dispositivo, instalan malware.
En este interesante caso, el autor de la amenaza envía contenido de ingeniería social de tipo « » (se abre en una nueva pestaña) a través del correo postal, en lugar de contenido realmente malicioso. Sin embargo, puede que no se trate de una variante de un método clásico, sino de otro actor que simplemente se hace pasar por una conocida operación de ransomware.
Por el momento, no hay confirmación de que la operación del ransomware BianLian esté enviando estas cartas. Puede que se trate simplemente de otro actor malintencionado que intenta ganar dinero rápido sin tener que llevar a cabo ningún aspecto técnicamente sofisticado propio de un ataque habitual.
Los piratas informáticos utilizan el truco «ClickFix» para instalar un agente modificado de Havoc Demon
Fortinet ha detectado (se abre en una nueva pestaña) una campaña de phishing al estilo «ClickFix» que intenta instalar un agente «Havoc Demon» modificado.
Lo que distingue a esta campaña es que el autor de la amenaza utiliza SharePoint para ocultar cada fase del malware y recurre a la API de Microsoft Graph para integrar a la perfección sus comunicaciones C2 .
Acceso inicial
Según Fortinet, el ataque comienza con un correo electrónico de phishing convencional que contiene un archivo HTML adjunto. El propio correo electrónico genera una sensación de urgencia al indicar al destinatario que podría enfrentarse a «dificultades operativas» si no consulta el aviso adjunto. El archivo adjunto, «Documents.html», es un ataque típico de ClickFix de (se abre en una nueva pestaña). Incluye un mensaje de error falso que engañará a la víctima para que copie, pegue y ejecute un código malicioso de PowerShell.
La carga útil
La carga útil —que es un script de PowerShell— se aloja en SharePoint. Cuando la víctima ejecute este script, este comprobará primero si se está ejecutando en un entorno de pruebas antes de eliminar las claves del Registro ubicadas en «HKCU:\Software\Microsoft» cuyo nombre comience por «zr_».
A continuación, añadirá la propiedad especificada como marcador de infección. El script continuará para comprobar que el intérprete de Python, python.exe, se encuentra en el dispositivo, y para obtener y ejecutar el script de Python remoto. Esto se lleva a cabo en ventanas ocultas para no despertar las sospechas de la víctima.
Cargadores de código shell
Fortinet señala que el script de Python también está alojado en SharePoint, contiene información de depuración y está escrito en ruso. Este script funciona como un cargador de código shell y se ejecuta a través del intérprete de Python en la terminal.
Un cargador de código shell de GitHub denominado «KaynLdr» cargará de forma reflexiva una DLL incrustada. Su objetivo principal es dificultar el análisis, ya que utiliza el hash de API con un algoritmo DJB2 modificado y las API de ntdll resueltas para la asignación y la gestión de la memoria.
Acerca de Havoc Demon DLL
Havoc es un marco de trabajo de código abierto C2 que se utiliza habitualmente en las operaciones de «red team» de (se abre en una nueva pestaña).
En este caso, el autor de la amenaza combina Havoc con la API de Microsoft Graph para ocultar las comunicaciones C2 . El actor utiliza una DLL de Havoc Demon modificada y una segunda función que aprovecha la API de Graph para inicializar archivos en el sitio de SharePoint.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Resulta interesante que los ataques del tipo «ClickFix» estén ganando popularidad, teniendo en cuenta que dependen en gran medida de la interacción de la víctima. No solo es necesario que la víctima caiga en la trampa mediante un correo electrónico de phishing, sino que además debe seguir copiando, pegando y ejecutando un archivo malicioso de PowerShell.
Este ataque concreto también recurre a otra táctica muy extendida: el uso de servicios legítimos como la API de Microsoft Graph y SharePoint. Estas fuentes legítimas y conocidas pueden contribuir a que las tasas de éxito sean más elevadas.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
