Más de una docena de empresas e instituciones públicas del complejo militar-industrial en Afganistán y Europa han sido objeto de una ola de ataques dirigidos desde enero de 2022 para robar datos confidenciales haciendo uso simultáneamente de seis puertas traseras diferentes.
La empresa rusa de ciberseguridad Kaspersky atribuido los ataques “con un alto grado de confianza” a un actor de amenazas vinculado a China rastreado por punto de prueba como TA428citando superposiciones en tácticas, técnicas y procedimientos (TTP).
TA428, también rastreado bajo los nombres Bronze Dudley, Temp.Hex y Vicious Panda, tiene un historial de entidades en huelga en Ucrania, Rusia, Bielorrusia y Mongolia. Se cree que comparte conexiones con otro grupo de hackers llamado Mustang Panda (también conocido como Bronze President).
Los objetivos de la última campaña de espionaje cibernético incluyeron plantas industriales, oficinas de diseño e institutos de investigación, agencias gubernamentales, ministerios y departamentos en varios países de Europa del Este y Afganistán.
Las cadenas de ataque implican penetrar en las redes de TI de la empresa utilizando correos electrónicos de phishing cuidadosamente elaborados, incluidos algunos que hacen referencia a información no pública perteneciente a las organizaciones, para engañar a los destinatarios para que abran documentos falsos de Microsoft Word.
Estos archivos señuelo vienen con exploits para una falla de corrupción de memoria de 2017 en el componente Editor de ecuaciones (CVE-2017-11882) que podría conducir a la ejecución de código arbitrario en los sistemas afectados, lo que en última instancia conduciría al despliegue de una puerta trasera llamada PortDoor.
PortDoor se empleó notablemente en ataques de spear-phishing montados por piratas informáticos patrocinados por el estado chino en abril de 2021 para piratear los sistemas de un contratista de defensa que diseña submarinos para la Armada rusa.
Es probable que el uso de seis implantes diferentes sea un intento por parte de los actores de amenazas de establecer canales redundantes para controlar los hosts infectados en caso de que uno de ellos sea detectado y eliminado de las redes.
Las intrusiones culminan con el atacante secuestrando el controlador de dominio y obteniendo el control completo de todas las estaciones de trabajo y servidores de la organización, aprovechando el acceso privilegiado para exfiltrar archivos de interés en forma de archivos ZIP comprimidos a un servidor remoto ubicado en China.
Otras puertas traseras utilizadas en los ataques incluyen nccTrojan, Cotx, DNSep, Logtu, y un malware previamente no documentado denominado CotSam, llamado así debido a sus similitudes con Cotx. Cada uno proporciona una amplia funcionalidad para controlar los sistemas y recopilar datos confidenciales.
También se incorpora a los ataques Ladon, un marco de piratería para el movimiento lateral que también permite al adversario buscar dispositivos en la red y explotar las vulnerabilidades de seguridad en ellos para ejecutar código malicioso.
“El phishing selectivo sigue siendo una de las amenazas más importantes para las empresas industriales y las instituciones públicas”, Kaspersky dijo. “Los atacantes utilizaron principalmente malware de puerta trasera conocido, así como técnicas estándar para el movimiento lateral y la evasión de la solución antivirus”.
“Al mismo tiempo, pudieron penetrar en docenas de empresas e incluso tomar el control de toda la infraestructura de TI y las soluciones de seguridad de TI de algunas de las organizaciones atacadas”.
Los hallazgos llegan poco más de dos meses después de que se observara a los actores de Twisted Panda apuntando a institutos de investigación en Rusia y Bielorrusia para dejar caer una puerta trasera básica llamada Spinner.