En este informe, analizamos cómo una amenaza persistente avanzada (APT) de habla china está llevando a cabo ataques contra sistemas de control industrial (ICS) mediante el uso de una variante mejorada de la puerta trasera ShadowPad. Además, el colectivo hacktivista DragonForce afirma que está dejando de lado el activismo para dedicarse a la ciberdelincuencia, principalmente mediante el uso de ransomware.
Y, por último, Microsoft advierte ahora de importantes mejoras en el arsenal del grupo « 8220 », que respalda las actividades de robo de claves criptográficas del grupo y está aprovechando activamente una vulnerabilidad de Confluence.
Analicemos con más detalle estas noticias que están en desarrollo.
1. Un presunto grupo APT chino utiliza ShadowPad para atacar sistemas de control industrial
Un nuevo informe de Kaspersky, « » ( ) (se abre en una nueva pestaña) () ( ), describe una campaña activa que utiliza la puerta trasera ShadowPad en ataques dirigidos contra varios sistemas de control industrial (ICS) pertenecientes a entidades de telecomunicaciones de Oriente Medio. Esta oleada de ataques, dirigida específicamente contra los ordenadores de ingeniería de los sistemas de automatización de edificios (BAS), comenzó a mediados deOctober 2021.
Durante la investigación de la campaña, los investigadores encontraron indicios de una actividad a mayor escala e identificaron a otras víctimas. Además, Kaspersky afirma que la campaña es similar a los ataques de March 2021 , en los que se utilizó una versión anterior de la puerta trasera ShadowPad, así como al uso de un conjunto similar de tácticas, técnicas y procedimientos (TTP) empleados contra organizaciones de logística y transporte en un puerto de Malasia.
Conclusiones clave
- Algunas de las organizaciones afectadas son víctimas de la vulnerabilidad « CVE-2021-26855 » (se abre en una nueva pestaña) en Microsoft Exchange.
- Desde marzo hasta, al menos, el October 2021, la puerta trasera ShadowPad se descargaba en los ordenadores de las víctimas como el archivo mscoree.dll, que se ejecutaba mediante AppLaunch.exe, una aplicación legítima que se ejecutaba a través de la creación de una tarea en el Programador de tareas de Windows.
- Posteriormente, los atacantes ejecutaron ShadowPad mediante el secuestro de DLL en una aplicación legítima de visualización de objetos OLE-COM (OleView).
- Tras la infección inicial, los atacantes enviaron órdenes primero de forma manual y, posteriormente, de forma automática.
- Los atacantes utilizaron dominios registrados en NameSilo, GoDaddy.com y ENOM para comunicarse con los servidores de mando y control (C2). La mayoría de los C2 servidores estaban alojados en servidores dedicados alquilados al proveedor de servicios gestionados (MSP) Choopa.
Kaspersky afirma que el grupo utilizó herramientas adicionales durante la campaña. Entre ellos se encuentra el siempre popular marco Cobalt Strike, que descargaban en los equipos de las víctimas mediante la utilidad certutil.exe, así como shells web aspx compilados y las herramientas procdump y Mimikatz. Entre las herramientas adicionales que se ha observado que utilizan los atacantes se encuentran la puerta trasera PlugX, los archivos BAT para el robo de credenciales, los shells web para obtener acceso remoto al servidor web y la utilidad Nextnet para escanear hosts de red.
La actividad posterior a la explotación consiste en la distribución de un script malicioso para cmd.exe a través de las redes de las víctimas. El script se ha añadido al programador de tareas para que se ejecute a diario. El script contiene varios comandos, pero su objetivo general es recopilar información del sistema y de los usuarios, copiar archivos y prepararlos para su exfiltración, montar unidades de red utilizando cuentas legítimas del dominio (lo que demuestra que los atacantes robaron credenciales de autenticación del dominio de al menos una cuenta en cada organización atacada), ejecutar la herramienta de extracción de credenciales Mimikatz, entre otras acciones. Kaspersky afirma que esta última parte de la estrategia de TTP de los atacantes es única y respalda aún más las afirmaciones de los investigadores sobre la implicación del Estado chino.
ShadowPad: Una breve descripción general
ShadowPad es un troyano de acceso remoto (RAT) modular y avanzado que diversos grupos de ciberdelincuentes chinos han utilizado —y siguen utilizando— para lanzar ataques contra redes privadas. ShadowPad apareció por primera vez allá por el año 2017 y sigue siendo un mecanismo de ataque muy utilizado.
En la campaña mencionada anteriormente, la puerta trasera ShadowPad se descargó en los ordenadores atacados bajo la apariencia del archivo mscoree.dll, que fue ejecutado por la aplicación legítima AppLaunch.exe, ubicada en la misma carpeta que ShadowPad. El archivo «AppLaunch.exe» se ejecutó mediante la creación de una tarea en el Programador de tareas de Windows.
Nueva metodología: Como se ha mencionado anteriormente, Kaspersky afirma que, desde aproximadamente mediados deOctober 2021, los atacantes están utilizando un nuevo y exclusivo método de lanzamiento de ShadowPad, así como una nueva versión del malware, para atacar a los mismos tipos de organizaciones. En lugar de utilizar mscoree.dll, los atacantes están recurriendo ahora a la técnica de secuestro de DLL, aprovechando de forma indebida un programa legítimo destinado a visualizar objetos OLE-COM (OleView).
La aplicación legítima OleView descarga la biblioteca maliciosa IVIEWERS.dll, la cual, a su vez, descarga y ejecuta la carga útil ShadowPad contenida en el archivo IVIEWERS.dll.dat. La nueva versión de ShadowPad también utilizó el Programador de tareas de Windows para conseguir y mantener un punto de acceso en los sistemas afectados.
En un informe reciente de PwC, titulado « », se presenta un análisis más detallado de las modificaciones introducidas en la nueva variante de ShadowPad. (se abre en una nueva pestaña)
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La aparición de una nueva variante de ShadowPad resulta preocupante, ya que ha sido utilizada anteriormente por diversos grupos APT chinos con cierto éxito, y ha demostrado ser un recurso fiable para los actores maliciosos que pretenden llevar a cabo ataques a la cadena de suministro». CTI considera que Kaspersky da en el clavo en lo que respecta a sus afirmaciones sobre la atribución (aunque ShadowPad ha sido utilizado por diversas APT patrocinadas por Estados a lo largo de los años), ya que tanto las regiones afectadas como el perfil de las víctimas que se observa en estos ataques coinciden con los intereses tradicionales del Estado chino y son víctimas habituales de los ataques de ciberespionaje respaldados por el régimen.
Se cree que ShadowPad fue desarrollado por actores maliciosos vinculados al grupo APT chino «Bronze Atlas» y que, posteriormente, se compartió con el Ministerio de Seguridad del Estado (MSS) y el Ejército Popular de Liberación (EPL) de China —y, por extensión, con sus numerosos hackers afiliados—.
2. El grupo hacktivista DragonForce Malaysia publica un exploit de LPE para Windows y revela sus planes de convertirse en un grupo de ransomware
Una publicación reciente sobre inteligencia de amenazas de CloudSEK (se abre en una nueva pestaña) detalla un nuevo exploit del grupo hacktivista DragonForce Malaysia, capaz de llevar a cabo una escalada de privilegios locales (LPE) en servidores Windows y acciones de enrutador de distribución local (LDR) en servidores ubicados en la India.
¿Quiénes son DragonForce Malasia?
DragonForce es un grupo hacktivista con sede en Malasia que en su momento se consideró comparable a la organización Anonymous, de mayor renombre. Este colectivo hacktivista se ha descrito incluso a sí mismo como un grupo «basado en la ética y en principios que aportan el bien», y gestiona canales en redes sociales que atraen a decenas de miles de visitantes.
Esta operación es conocida por atacar a organizaciones y entidades gubernamentales en todo Oriente Medio y Asia. El objetivo preferido de DragonForce es Israel, como lo demuestra el hecho de que haya lanzado múltiples operaciones contra ese país y sus ciudadanos. El grupo también es propietario y gestiona un foro en línea en el que publica anuncios, comenta sus últimas actividades y lleva a cabo campañas de captación y promoción a través de TikTok e Instagram.
Actividad destacada
La campaña más reciente de la operación, «OpsPatuk», azotó la India con una oleada de ataques en respuesta a los polémicos comentarios de algunos políticos indios. Radware ha publicado un aviso (se abre en una nueva pestaña) en el que se detalla la campaña, incluyendo las vulnerabilidades aprovechadas, los indicadores de compromiso (IOC) y los grupos de amenaza adicionales identificados que participaron en la misma.
DragonForce, al igual que muchos grupos hacktivistas, es conocido por colaborar con otras bandas de ciberdelincuentes para alcanzar sus objetivos. El grupo ha seguido los pasos de otros hacktivistas al reaparecer durante el conflicto entre Rusia y Ucrania.
Históricamente, DragonForce ha recurrido a herramientas de ataque de dominio público para llevar a cabo sus campañas. El giro del grupo hacia el uso de herramientas de ataque que no están disponibles públicamente supone un cambio significativo con respecto a sus métodos habituales y, tal vez, indique cierta mejora en la sofisticación técnica del grupo. Sin embargo, este crecimiento no parece extenderse a las decisiones del grupo en materia de seguridad operativa (OPSEC).
DragonForce ha publicado recientemente un vídeo en el que detalla su último exploit, y atribuye su desarrollo a un actor malicioso denominado « ‘impossible1337». El exploit está diseñado para aprovechar las vulnerabilidades LPE y LDR de los servidores Windows, pero aún no se ha hecho pública más información técnica al respecto.
A continuación, el vídeo cambia de rumbo, ya que el autor de la amenaza detalla su plan para convertirse en un grupo de ransomware; llegando incluso a mostrar un avance de una nota de rescate para demostrar la seriedad de sus intenciones. Tras la publicación del vídeo, el grupo publicó una entrada en el blog de su página web en la que reiteraba sus objetivos de llevar a cabo ataques de ransomware a gran escala.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Lo más destacable de esta noticia es el hecho de que un grupo de hacktivistas esté creando sus propios exploits y dando el salto del hacktivismo al ransomware, lo que pone de manifiesto una decisión deliberada de dar el salto a la delincuencia con fines económicos». Este cambio es significativo, ya que la mayoría de los hacktivistas, como mínimo, intentan mantener una imagen que transmita una misión bienintencionada; y, por lo general, no hacen público ningún deseo de obtener dinero de forma ilegal mediante la ciberdelincuencia.
Este cambio en las motivaciones de DragonForce podría constituir una prueba más de que la increíble (y creciente) cantidad de dinero que genera el sector del ransomware resulta cada vez más difícil de ignorar, incluso para aquellos que en un principio afirmaban querer «hacer el bien» al mundo, tal y como DragonForce declaró en su momento.
También resulta interesante que el grupo haya publicado un vídeo en el que detalla su último exploit y, al mismo tiempo, anuncie sus planes de pasar a utilizar ransomware. Teniendo en cuenta que este grupo ha sido franco respecto a sus víctimas, en esencia ha dado a sus objetivos (así como a las fuerzas del orden) una «advertencia» sobre lo que pueden esperar de ellos en el futuro. En este caso, DragonForce ofrece a las posibles víctimas la oportunidad de aplicar los parches a los servidores de Windows antes de que se produzca un posible ataque de tipo LPE o LDR en Windows.
3. Microsoft advierte: el malware dirigido a Linux ha recibido una importante actualización
El Centro de Inteligencia sobre Amenazas de Microsoft (MSTIC) ha publicado una serie de tuits (se abre en una nueva pestaña) en los que destaca actualizaciones significativas de las TTP asociadas a la banda « 8200 », un actor malicioso responsable de una campaña de malware de larga duración dirigida contra sistemas Linux.
El hilo de Twitter describe la actividad reciente de la campaña y las actualizaciones de las tácticas, técnicas y procedimientos (TTP) del actor malicioso, y concluye con los indicadores de compromiso (IOC) asociados a los 8220’s ataques más recientes, cuyo objetivo parece tener una motivación económica, ya que implican la minería de criptomonedas.
¿Quiénes forman la banda « 8220 »?
El grupo « 8220 » es un actor malicioso de habla china dedicado a la minería de Monero, observado por primera vez en 2017. El nombre « ‘8220’ » hace referencia a la preferencia del actor por utilizar el puerto 8220 para sus comunicaciones C2 .
Este grupo es conocido por infectar sistemas utilizando servicios en la nube habituales, mediante el uso de un minero personalizado y un bot de Internet Relay Chat (IRC) para facilitar nuevos ataques y obtener acceso remoto a las víctimas. A juzgar por su actividad más reciente, parece que esta fue la metodología que resultó más eficaz, ya que, al parecer, el grupo 8220 ha decidido seguir utilizando tácticas, técnicas y procedimientos (TTP) similares hasta la fecha.
Atlassian ha dado a conocer un fallo crítico que afecta a sus productos Confluence Server y Data Center (registrado con el número CVE-2022-26134) en June 2, 2022. En el plazo de una semana, la empresa de seguridad Check Point incluyó a la banda « 8220 » entre el reducido grupo de actores maliciosos que aprovechaban la vulnerabilidad de día cero para descargar software de minería de criptomonedas. Así lo demuestran los hallazgos realizados por los investigadores de Check Point, quienes, durante una investigación, lograron extraer de un sistema infectado un dominio y un monedero criptográfico que anteriormente estaban vinculados a 8220.
MSTIC informa de que, a lo largo del último año, el grupo ha actualizado de forma activa sus técnicas y sus cargas útiles. Su reciente campaña tiene como objetivo los sistemas Linux i686 y x86_64 y utiliza vulnerabilidades de ejecución remota de código (RCE) en CVE-2022-26134 (Confluence) y CVE-2019-2725 (WebLogic) para obtener acceso inicial.
Conclusiones clave
Según se ha informado, las actualizaciones de las 8220 tácticas, técnicas y procedimientos (TTP) y herramientas incluyen lo siguiente:
- Nueva variante de un programa de minería de criptomonedas
- Nuevo bot de IRC
- Uso de un exploit para una vulnerabilidad revelada recientemente (CVE-2022-26134)
- Se utiliza un cargador con capacidades para eludir la detección que descarga la última variante del minero de criptomonedas pwnRig y el bot IRC mencionado anteriormente, el cual ejecuta comandos desde un servidor C2 . El cargador puede seguir funcionando tras los reinicios creando una tarea programada mediante una tarea cron o un script que se ejecute cada minuto como comando «nohup» (sin desconexión).
Según Microsoft, una vez que el grupo « 8220 » obtiene acceso inicial a través de «CVE-2022-26134», descarga el denominado «loader» en el sistema, el cual, a su vez, modifica la configuración del host para desactivar los servicios de seguridad, descarga un criptominer, establece persistencia en la red de destino y, a continuación, escanea la red (mediante la herramienta de escaneo de puertos MASSCAN) para localizar otros servidores potencialmente vulnerables.
La propagación se lleva a cabo con la ayuda de «Spirit», una herramienta de ataque por fuerza bruta a SSH basada en GoLang. Además, el cargador busca en el disco local claves SSH con las que el actor podría desplazarse lateralmente conectándose a hosts de confianza.
Dado que el cargador puede borrar los archivos de registro y desactivar la supervisión en la nube y otras herramientas de seguridad, Microsoft advierte a los administradores que activen las funciones de protección contra la manipulación de Defender para Endpoint.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Técnicamente, no se trata de una nueva amenaza, sino más bien de una versión actualizada y más eficaz de una ya existente. Tal y como sugiere esta noticia, Microsoft está intensificando sus esfuerzos para dar a conocer el malware dirigido a Linux, una iniciativa que, en opinión de CTI, merece ser elogiada. En lo que respecta al arsenal actualizado de la banda « 8220 », se trata del resultado de la actuación de un actor malicioso que ha dado con una metodología que ha demostrado ser eficaz y que, por lo tanto, al parecer ha dedicado el último año a actualizar su malware y sus técnicas de implementación, en lo que el CTI describiría como un intento de aumentar aún más las tasas de éxito de sus ataques.
This shows a high degree of dedication and is also indicative of a group for which cryptomining is a true occupation, as opposed to a side gig. 8220’s increasing sophistication is a sign that its methods are working, as this kind of development takes time, but more importantly, financial resources. En definitiva, el 8220 constituye una amenaza emergente y debe tratarse como tal».
Explore la comunidad de Tanium
Las ciberamenazas están en constante evolución, por lo que es importante mantenerse al día de las últimas novedades. Y aquí, en Tanium, nos comprometemos a ayudarle a mantenerse informado y preparado.
No deje de visitar nuestra página próximamente para consultar nuestro próximo resumen de noticias. Mientras tanto, puede descubrir temas de actualidad sobre ciberseguridad, comunicados y foros de debate en nuestra comunidad de Tanium: , (se abre en una nueva pestaña),y .