Una campaña de espionaje cibernético de meses de duración realizada por un grupo de estado-nación chino apuntó a varias entidades con malware de reconocimiento para obtener información sobre sus víctimas y cumplir sus objetivos estratégicos.
“Los objetivos de esta campaña reciente abarcaron Australia, Malasia y Europa, así como entidades que operan en el Mar de China Meridional”, dijo la firma de seguridad empresarial Proofpoint. dijo en un publicado en colaboración con PwC.
Los objetivos abarcan agencias gubernamentales australianas locales y federales, compañías de medios de comunicación australianas y fabricantes de la industria pesada mundial que realizan el mantenimiento de flotas de turbinas eólicas en el Mar de China Meridional.
Proofpoint y PwC atribuyeron las intrusiones con confianza moderada a un actor de amenazas rastreado por las dos compañías con los nombres TA423 y Red Ladon respectivamente, que también se conoce como APT40 y Leviathan.
APT40 es el nombre designado para un actor de amenazas motivado por el espionaje con sede en China que se sabe que está activo desde 2013 y tiene un patrón de atacar entidades en la región de Asia-Pacífico, con un enfoque principal en el Mar de China Meridional. En julio de 2021, el gobierno de EE. UU. y sus aliados atado el colectivo adversario al Ministerio de Seguridad del Estado de China (MSS).
Los ataques adoptaron la forma de varias campañas de phishing entre el 12 de abril y el 15 de junio que emplearon direcciones URL que se hacían pasar por empresas de medios australianas para ofrecer la ScanBox marco de reconocimiento. Los correos electrónicos de phishing venían con líneas de asunto como “Baja por enfermedad”, “Investigación de usuarios” y “Solicitud de cooperación”.
A diferencia de los pozos de agua o los compromisos web estratégicos en los que un sitio web legítimo conocido por ser visitado por los objetivos está infectado con un código JavaScript malicioso, la actividad de APT40 aprovecha un dominio controlado por el actor que se usa para entregar el malware.
“El actor de amenazas con frecuencia se hacía pasar por un empleado de la publicación de medios ficticia ‘Australian Morning News’, proporcionando una URL al dominio malicioso y solicitando objetivos para ver su sitio web o compartir contenido de investigación que el sitio web publicaría”, dijeron los investigadores.
ScanBox, utilizado en ataques ya en 2014, es un Malware basado en JavaScript que permite a los actores de amenazas perfilar a sus víctimas, así como entregar cargas útiles de la siguiente etapa a los objetivos de interés. También se sabe que se comparte de forma privada entre varios grupos de piratas informáticos con sede en China, como HUI Loader, PlugX y ShadowPad.
Algunos de los actores de amenazas notables que se han observado previamente usando ScanBox incluyen APT10 (también conocido como Red Apollo o Stone Panda), APT27 (también conocido como Emissary Panda, Lucky Mouse o Red Phoenix) y TA413 (también conocido como Lucky Cat).
El malware en el navegador web de la víctima también recupera y ejecuta una serie de complementos que le permiten registrar pulsaciones de teclas, tomar huellas dactilares del navegador, recopilar una lista de complementos del navegador instalados, comunicarse con las máquinas infectadas y verificar la presencia de Software Kaspersky Internet Security (KIS).
Esta no es la primera vez que APT40 adopta el modus operandi de utilizar sitios web de noticias falsas para implementar ScanBox. Una campaña de phishing de 2018 descubierto by Mandiant usó URL de artículos de noticias alojados en un dominio falso como señuelos para engañar a los destinatarios para que descargaran el malware.
Curiosamente, los ataques de abril a junio son parte de una actividad de phishing sostenida vinculada al mismo actor de amenazas que se dirige a organizaciones con sede en Malasia y Australia, así como a empresas globales potencialmente relacionadas con proyectos de energía en alta mar en el Mar de China Meridional desde marzo de 2021 hasta marzo de 2022.
Estos ataques hicieron uso de documentos RTF maliciosos para entregar un descargador de primera etapa que luego actuó como un conducto para recuperar versiones codificadas del código de shell de Meterpreter. Una de las víctimas de esta campaña en marzo de 2022 fue un fabricante europeo de equipo pesado que se utiliza en parques eólicos marinos en el Estrecho de Taiwán.
Eso no es todo. También se ha atribuido a APT40 como responsable de los compromisos de copiar y pegar que el Centro de Seguridad Cibernética de Australia (ACSC) reveló en junio de 2020 y que estaban dirigidos contra agencias gubernamentales.
“Este actor de amenazas ha demostrado un enfoque constante en las entidades involucradas en la exploración de energía en el Mar de China Meridional, junto con los objetivos nacionales australianos, incluida la defensa y la atención médica”, dijeron los investigadores.
About the Author
