Se ha observado que un grupo de ciberespionaje alineado con China ataca el sector de las telecomunicaciones en Asia Central con versiones de malware como ShadowPad y PlugX.
La firma de seguridad cibernética SentinelOne vinculó las intrusiones a un actor al que rastrea bajo el nombre de “Moshen Dragon”, con superposiciones tácticas entre el colectivo y otro grupo de amenazas conocido como Nomad Panda (también conocido como RedFoxtrot).
“PlugX y ShadowPad tienen un historial de uso bien establecido entre los actores de amenazas de habla china principalmente para actividades de espionaje”, Joey Chen de SentinelOne. dicho. “Esas herramientas tienen una funcionalidad flexible y modular y se compilan a través de shellcode para eludir fácilmente los productos tradicionales de protección de puntos finales”.
ShadowPad, etiquetado como una “obra maestra del malware de venta privada en el espionaje chino”, surgió como sucesor de PlugX en 2015, incluso cuando las variantes de este último han aparecido continuamente como parte de diferentes campañas asociadas con los actores de amenazas chinos.
Aunque se sabe que fue implementado por el grupo de piratería patrocinado por el gobierno denominado Bronze Atlas (también conocido como APT41, Bario o Winnti) desde al menos 2017, un número cada vez mayor de otros actores de amenazas vinculados a China se han unido a la refriega.
A principios de este año, Secureworks atribuyó distintos grupos de actividad de ShadowPad a grupos de estados-naciones chinos que operan en consonancia con la agencia de inteligencia civil del Ministerio de Seguridad del Estado (MSS) de China y el Ejército Popular de Liberación (EPL).
Los últimos hallazgos de SentinelOne encajan con un informe anterior de Trellix a fines de marzo que reveló una campaña de ataque RedFoxtrot dirigida a los sectores de telecomunicaciones y defensa en el sur de Asia con una nueva variante de malware PlugX llamada Talismán.
Los TTP de Moshen Dragon implican el abuso de software antivirus legítimo perteneciente a BitDefender, Kaspersky, McAfee, Symantec y Trend Micro para descargar ShadowPad y Talisman en sistemas comprometidos por medio de una técnica llamada Secuestro de orden de búsqueda de DLL.
En el paso siguiente, la DLL secuestrada se usa para descifrar y cargar la carga útil final de ShadowPad o PlugX que reside en la misma carpeta que el ejecutable del antivirus. La persistencia se logra creando una tarea programada o un servicio.
A pesar del secuestro de productos de seguridad, otras tácticas adoptadas por el grupo incluyen el uso de herramientas de piratería conocidas y scripts de equipo rojo para facilitar el robo de credenciales, el movimiento lateral y la filtración de datos. El vector de acceso inicial aún no está claro.
“Una vez que los atacantes han establecido un punto de apoyo en una organización, proceden con un movimiento lateral aprovechando Impacket dentro de la red, colocando una puerta trasera pasiva en el entorno de la víctima, recolectando tantas credenciales como sea posible para asegurar un acceso ilimitado y centrándose en la exfiltración de datos, “, dijo Chen.