En este informe, exploramos cómo una amenaza persistente avanzada (APT) de habla china está llevando a cabo ataques en los sistemas de control industrial (ICS) al aprovechar una variante de puerta trasera de ShadowPad renovada. Además, el colectivo de hacktivistas de DragonForce está afirmando estar alejada del activismo y hacia el delito cibernético, principalmente mediante la implementación de ransomware.
Y finalmente, Microsoft ahora advierte sobre las actualizaciones importantes del arsenal de la pandilla 8220 , que respalda la actividad de criptorrobo del grupo y está explotando activamente una vulnerabilidad de Confluence.
Veamos más de cerca estas historias en desarrollo.
1. Sospecha de grupo chino de APT utiliza ShadowPad para atacar sistemas de control industriales
Un nuevo informe de Kaspersky (se abre en una nueva pestaña) describe una campaña activa que aprovecha la puerta trasera de ShadowPad en ataques dirigidos a varios sistemas de control industrial (ICS) pertenecientes a entidades de telecomunicaciones en Medio Oriente. Esta ola de ataques, que se dirige específicamente a las computadoras de ingeniería en los sistemas de automatización de edificios (Building Automation Systems, BAS), comenzó a mediados de October 2021.
Durante la investigación de la campaña, los investigadores encontraron evidencia de actividad a mayor escala e identificaron víctimas adicionales. Además, Kaspersky afirma que la campaña es similar a los ataques que March 2021 involucran a versiones anteriores de la puerta trasera de ShadowPad, así como el uso de un conjunto similar de tácticas, técnicas y procedimientos (TTP) implementados contra organizaciones logísticas y de transporte en un puerto malayo.
Conclusiones clave
- Algunas de las organizaciones objetivo son víctimas de la vulnerabilidad CVE-2021-26855 (se abre en una nueva pestaña) en Microsoft Exchange.
- Desde marzo hasta al menos October 2021, la puerta trasera de ShadowPad se descargó en las computadoras víctima como el archivo mscoree.dll, lanzado por AppLaunch.exe, una aplicación legítima ejecutada mediante la creación de una tarea en el programador de tareas de Windows.
- Más tarde, los atacantes lanzaron ShadowPad utilizando el secuestro de DLL en una aplicación de visualización de objetos OLE-COM legítima (OleView).
- Después de la infección inicial, los atacantes enviaron comandos manualmente y luego automáticamente.
- Los atacantes utilizaron dominios registrados con NameSilo, GoDaddy.com y ENOM para comunicarse con los servidores de comando y control (C2). La mayoría de los C2 servidores se alojaron en servidores dedicados alquilados a Choopa, proveedor de servicios gestionados (MSP).
Kaspersky afirma que el grupo utilizó herramientas adicionales durante la campaña. Esto incluye el siempre popular marco de Cobalt Strike, que descargaron a las máquinas víctima utilizando la utilidad certutil.exe, shells web de aspx compilados y herramientas procdump y Mimikatz. Las herramientas adicionales observadas siendo aprovechadas por los atacantes incluyen la puerta trasera de PlugX, archivos BAT para robar credenciales, shells web para obtener acceso remoto al servidor web y la utilidad Nextnet para escanear hosts de red.
La actividad posterior a la explotación implica la distribución de un script malicioso para cmd.exe a través de redes de víctimas. El script se agregó al programador de tareas para realizar la ejecución diaria. Existen varios comandos dentro del script, pero su objetivo general es recopilar información del sistema y del usuario, copiar archivos y prepararlos para la exfiltración, montar unidades de redes utilizando cuentas de dominio legítimas (evidencia de que los atacantes robaron credenciales de autenticación de dominio de al menos una cuenta en cada organización atacada), iniciar el volcado de credenciales de Mimikatz y más. Kaspersky afirma que esta última parte de la estrategia de TTP de los atacantes es única y respalda aún más las afirmaciones de los investigadores sobre la participación del estado chino.
ShadowPad: Una breve descripción general
ShadowPad es un troyano de acceso remoto (Remote Access Trojan, RAT) modular avanzado que varios grupos de amenazas chinos han utilizado, y están utilizando, para lanzar ataques contra redes privadas. ShadowPad apareció por primera vez en 2017 y sigue siendo un mecanismo de ataque popular.
En la campaña mencionada anteriormente, la puerta trasera de ShadowPad se descargó en las computadoras atacadas bajo la apariencia del archivo mscoree.dll, que fue lanzado por la aplicación legítima AppLaunch.exe ubicada en la misma carpeta que ShadowPad. AppLaunch.exe se ejecutó creando una tarea en el programador de tareas de Windows.
Nueva metodología: Como se mencionó anteriormente, Kaspersky afirma que desde mediados de October 2021, los atacantes están utilizando un nuevo esquema de lanzamiento único de ShadowPad y una nueva versión de malware para dirigirse a los mismos tipos de organizaciones. En lugar de usar mscoree.dll, los atacantes ahora están usando la técnica de secuestro de DLL, abusando del software legítimo para ver objetos OLE-COM (OleView).
La aplicación OleView legítima descarga la biblioteca IVIEWERS.dll maliciosa, que a su vez descarga y ejecuta la carga útil de ShadowPad contenida en IVIEWERS.dll.dat. Windows Task Scheduler también fue utilizado por la nueva versión de ShadowPad para lograr y mantener una posición en los sistemas objetivo.
Un análisis más detallado de las modificaciones realizadas a la nueva variante de ShadowPad se presenta en un informe reciente publicado por PwC. (se abre en una nueva pestaña)
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“La aparición de una nueva variante de ShadowPad es preocupante, ya que ha sido utilizada previamente por varias APT chinas con cierto éxito, y se ha demostrado que es un activo confiable para los actores de amenazas que buscan participar en ataques a la cadena de suministro. CTI es la opinión de que Kaspersky tiene razón en el dinero con respecto a sus afirmaciones de atribución (aunque ShadowPad ha sido aprovechada por una variedad de APT patrocinadas por el estado a lo largo de los años), ya que tanto las regiones objetivo como la victimología mostrada en estos ataques se alinean con los intereses tradicionales del estado chino y son víctimas frecuentes de los ataques de ciberespionaje respaldados por el estado del régimen.
Se cree que ShadowPad ha sido desarrollado por actores de amenazas afiliados a Bronze Atlas APT de China y, posteriormente, compartido con el Ministerio de Seguridad Estatal (MSS) de China y el Ejército de Liberación Popular (PLA), y por extensión, sus muchas filiales de hacker”.
2. El grupo hacktivista DragonForce Malasia lanza el exploit de LPE de Windows, revela planes para evolucionar a un grupo de ransomware
Una publicación reciente de inteligencia de amenazas de CloudSEK (se abre en una nueva pestaña) detalla un nuevo exploit del grupo hacktivista DragonForce Malaysia que es capaz de realizar acciones de escalamiento de privilegios locales (LPE) en servidores Windows y enrutador de distribución local (LDR) en servidores basados en la India.
¿Quién es DragonForce Malaysia?
DragonForce es un grupo hacktivista con sede en Malasia que alguna vez se consideró comparable con la organización anónima más conocida. Este colectivo hacktivista incluso se ha descrito a sí mismo como un grupo “basado en la ética y los principios que dan resultado”, y opera canales de redes sociales que generan decenas de miles de visitantes.
La operación es conocida por atacar organizaciones y entidades gubernamentales en todo Oriente Medio y Asia. El objetivo favorito de DragonForce es Israel, como lo demuestra su lanzamiento de múltiples operaciones contra la nación y sus ciudadanos. El grupo también es propietario y opera un foro en línea donde publica anuncios, analiza sus últimas actividades y realiza campañas de reclutamiento y promoción utilizando TikTok e Instagram.
Actividad notable
La campaña más reciente de la operación, OpsPatuk, golpeó a la India con una ola de ataques en respuesta a los comentarios controvertidos de algunos políticos indios. Radware lanzó un aviso (se abre en una nueva pestaña) que detalla la campaña que incluyó vulnerabilidades explotadas, IOC e identificó grupos de amenazas adicionales involucrados en la campaña.
DragonForce, al igual que muchos grupos hacktivistas, es conocido por trabajar con otras pandillas ciberdelincuentes para lograr sus objetivos. El grupo ha seguido los pasos de otros hacktivistas al resurgir durante el conflicto Rusia/Ucrania.
Históricamente, DragonForce ha confiado en herramientas de ataque disponibles públicamente para realizar sus campañas. El giro del grupo hacia herramientas de ataque no disponibles al público marca una desviación significativa de sus métodos habituales, y quizás señala alguna mejora en la sofisticación técnica del grupo. Sin embargo, este crecimiento no parece extenderse a las opciones del grupo con respecto a la seguridad operativa (OPSEC).
DragonForce publicó recientemente un video que detalla su explotación más reciente, atribuyendo su desarrollo a un actor de amenazas llamado ‘impossible1337”. El exploit está diseñado para dirigirse a las vulnerabilidades LPE y LDR del servidor de Windows, pero aún no se dispone de más información técnica sobre el exploit.
El video luego cambia de dirección, a medida que el actor de amenazas detalla su plan para convertirlo en un grupo de ransomware; incluso llegando hasta el punto de obtener una vista previa de una muestra de nota de rescate para demostrar la gravedad de sus intenciones. Después del video, el grupo publicó un blog en su sitio web en el que reiteraba sus objetivos de realizar ataques de ransomware a gran escala.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Lo que es más notable de esta historia es el hecho de que un grupo hacktivista está creando sus propios exploits y dando el salto del hacktivismo al ransomware, evidencia de una decisión consciente de dar el salto al crimen con motivación financiera. Este cambio es significativo, ya que la mayoría de los hacktivistas al menos intentan mantener una apariencia que transmite una misión bien intencionada; y generalmente no publicitan ningún deseo de obtener dinero ilegalmente a través de delitos cibernéticos.
Este cambio en las motivaciones de DragonForce puede servir como evidencia adicional de que la increíble (y creciente) cantidad de dinero generada por la industria del ransomware se está volviendo demasiado difícil de ignorar, incluso para aquellos que comenzaron profesando ‘bring good’ al mundo, como dijo DragonForce una vez.
También es interesante que el grupo haya publicado un video que detalle su explotación más reciente y, al mismo tiempo, anuncie sus planes de pasar al ransomware. Teniendo en cuenta que este grupo ha sido directo sobre sus víctimas objetivo, esencialmente ha dado a sus objetivos (así como a las fuerzas de seguridad) un “pretexto” en cuanto a qué esperar de ellas en el futuro. En este caso, DragonForce está dando a las posibles víctimas la oportunidad de aplicar parches a los servidores de Windows antes de un posible ataque de LPE o LDR de Windows”.
3. Microsoft advierte: El malware dirigido a Linux recibió una gran actualización
El Centro de Inteligencia de Amenazas (MSTIC) de Microsoft publicó una serie de tuits (se abre en una nueva pestaña) que destacan actualizaciones significativas de los TTP asociados con la pandilla 8200 , un actor de amenazas detrás de una campaña de malware de larga duración dirigida a los sistemas Linux.
El subproceso de Twitter describe la actividad reciente de la campaña y las actualizaciones de los TTP del perpetrador y concluye con los indicadores de compromiso (Indicators of compromise, IOC) asociados con 8220’s ataques más recientes, cuyo objetivo parece estar motivado financieramente, ya que involucran la criptomanía.
¿Quién es la pandilla 8220 ?
La pandilla 8220 es un actor de amenazas de habla china y monerominación observado por primera vez en 2017. El apodo ‘8220’ se refiere a la preferencia del actor para aprovechar el puerto 8220 para su comunicación C2 .
Este grupo es conocido por infectar hosts utilizando servicios comunes en la nube, aprovechando un minero personalizado y un bot de chat de retransmisión de Internet (IRC) para respaldar más ataques y obtener acceso remoto a las víctimas. Al observar su última actividad, parece que esta fue la metodología que demostró ser la más exitosa, ya que 8220 aparentemente ha decidido seguir con TTP similares hasta el día de hoy.
Atlassian reveló un error crítico que afectaba sus productos de Confluence Server y Data Center (seguido como CVE-2022-26134) en June 2, 2022. En el plazo de una semana, la firma de seguridad Check Point contó con las 8220 pandillas entre los pocos actores de amenazas que explotaron la falla de día cero para descargar software de criptometría. Esto se evidenció mediante descubrimientos realizados por los investigadores de Check Point, quienes durante una investigación pudieron extraer de un sistema infectado un dominio y una billetera de criptomonedas previamente vinculados a 8220.
MSTIC informa que durante el último año el grupo ha actualizado activamente sus técnicas y cargas útiles. Su campaña reciente apunta a i686 y x86_64 sistemas Linux y utiliza exploits RCE para CVE-2022-26134 (Confluence) y CVE-2019-2725 (WebLogic) para el acceso inicial.
Conclusiones clave
Se informa que las actualizaciones de 8220 TTP y herramientas incluyen lo siguiente:
- Nueva variante de cryptominer
- Nuevo bot de IRC
- Uso de un exploit para una vulnerabilidad divulgada recientemente (CVE-2022-26134)
- Uso de un cargador con capacidades de evasión de detección que descarga la última variante del criptominer pwnRig y el bot IRC mencionado anteriormente que ejecuta comandos desde un servidor C2 . El cargador puede sobrevivir a los reinicios creando una tarea programada a través de un trabajo cron o un script que se ejecuta cada minuto como un comando nohup (sin colgar).
Según Microsoft, después de que la pandilla 8220 obtiene el acceso inicial a través de CVE-2022-26134, descarga la cargadora mencionada anteriormente al sistema que luego cambia la configuración del host para deshabilitar los servicios de seguridad, descarga un criptomímero, establece persistencia en la red de destino y luego escanea la red (mediante el uso de la herramienta de escaneo de puerto MASSCAN) para encontrar otros servidores potencialmente vulnerables.
La propagación se logra con la ayuda de la herramienta de fuerza bruta SSH basada en GoLang, Spirit. El cargador también escanea el disco local en busca de claves SSH con las que el actor puede moverse lateralmente al conectarse a hosts de confianza.
Debido a que el cargador puede borrar registros y deshabilitar el monitoreo en la nube y otras herramientas de seguridad, Microsoft está advirtiendo a los administradores que habiliten las funciones de Defender para la protección contra manipulación de punto final.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Esta técnicamente no es una nueva amenaza, sino una versión actualizada y más efectiva de una existente. Como sugiere esta historia, Microsoft está aumentando sus esfuerzos para crear conciencia sobre el malware dirigido a Linux, una iniciativa que CTI cree que debe ser elogiada. Con respecto al arsenal actualizado de la pandilla 8220 , este es el resultado de un actor de amenazas que ha llegado a una metodología que ha demostrado ser exitosa y, aparentemente, ha pasado el último año actualizando su malware y técnica de implementación en lo que CTI describiría como un intento de aumentar aún más las tasas de éxito de sus ataques.
Esto muestra un alto grado de dedicación y también es indicativo de un grupo para el cual la criptomanía es una verdadera ocupación, a diferencia de una pelea secundaria. 8220’s La creciente sofisticación es un signo de que sus métodos están funcionando, ya que este tipo de desarrollo lleva tiempo, pero lo que es más importante, recursos financieros. La conclusión es que 8220 es una amenaza emergente y debe tratarse como tal”.
Explore la comunidad de Tanium
Las ciberamenazas siempre están evolucionando, por lo que es importante mantenerse informado sobre los últimos desarrollos. Y aquí en Tanium, estamos comprometidos a ayudarle a mantenerse informado y preparado.
Asegúrese de volver pronto para nuestro próximo resumen de inteligencia. Mientras tanto, puede descubrir problemas emergentes de ciberseguridad, anuncios y foros de discusión en nuestra Comunidad Tanium (se abre en una nueva pestaña).
