Se han descubierto superposiciones t\u00e1cticas y de objetivos entre la enigm\u00e1tica amenaza persistente avanzada (APT) llamada hombre de arena<\/strong> y un grupo de amenazas con sede en China que se sabe que utiliza una puerta trasera conocida como KEYPLUG.<\/p>\n La evaluaci\u00f3n proviene conjuntamente de SentinelOne, PwC y el equipo de Microsoft Threat Intelligence bas\u00e1ndose en el hecho de que se ha determinado que el malware basado en Lua del adversario, LuaDream y KEYPLUG, cohabitan “en las mismas redes de v\u00edctimas”.<\/p>\n Microsoft y PwC est\u00e1n rastreando la actividad bajo los nombres Storm-0866 y Red Dev 40, respectivamente.<\/p>\n “Sandman y Storm-0866\/Red Dev 40 comparten pr\u00e1cticas de gesti\u00f3n y control de infraestructura, incluidas selecciones de proveedores de alojamiento y convenciones de nombres de dominio, las empresas dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n “La implementaci\u00f3n de LuaDream y KEYPLUG revela indicadores de pr\u00e1cticas de desarrollo compartidas y superposiciones en funcionalidades y dise\u00f1o, lo que sugiere requisitos funcionales compartidos por sus operadores”.<\/p>\n Descifrando el c\u00f3digo: aprenda c\u00f3mo los ciberatacantes explotan la psicolog\u00eda humana<\/p>\n <\/a> <\/p>\n \u00bfAlguna vez te has preguntado por qu\u00e9 la ingenier\u00eda social es tan eficaz? Profundice en la psicolog\u00eda de los ciberatacantes en nuestro pr\u00f3ximo seminario web.<\/p>\n \u00danete ahora<\/a> <\/section>\n Sandman fue expuesto por primera vez por SentinelOne en septiembre de 2023, detallando sus ataques a proveedores de telecomunicaciones en Medio Oriente, Europa occidental y el sur de Asia utilizando un novedoso implante con nombre en c\u00f3digo LuaDream. Las intrusiones se registraron en agosto de 2023.<\/p>\n Storm-0866\/Red Dev 40, por otro lado, se refiere a un grupo APT emergente que destaca principalmente entidades en el Medio Oriente y el subcontinente del sur de Asia, incluidos proveedores de telecomunicaciones y entidades gubernamentales.<\/p>\n Una de las herramientas clave en el arsenal de Storm-0866 es KEYPLUG, una puerta trasera que fue revelada por primera vez por Mandiant, propiedad de Google, como parte de los ataques organizados por el actor APT41 (tambi\u00e9n conocido como Brass Typhoon o Barium) con sede en China para infiltrarse en seis redes gubernamentales estatales de EE. UU. entre mayo de 2021 y febrero de 2022.<\/p>\n En un informe publicado a principios de marzo, Recorded Future atribuy\u00f3 el uso de KEYPLUG a un grupo de actividad de amenazas patrocinado por el estado chino que est\u00e1 rastreando como RedGolf, que, seg\u00fan dijo, “se superpone estrechamente con la actividad de amenazas reportada bajo los alias de APT41\/BARIUM”.<\/p>\n “Un examen minucioso de la implementaci\u00f3n y la infraestructura C2 de estas distintas cepas de malware revel\u00f3 indicadores de desarrollo compartido, as\u00ed como pr\u00e1cticas de gesti\u00f3n y control de infraestructura, y algunas superposiciones en funcionalidades y dise\u00f1o, lo que sugiere requisitos funcionales compartidos por sus operadores”, se\u00f1alaron las empresas. .<\/p>\n Una de las superposiciones notables son dos dominios LuaDream C2 llamados “dan.det-ploshadka[.]com” y “ssl.e-novauto[.]com”, que tambi\u00e9n se ha utilizado como servidor KEYPLUG C2 y que se ha vinculado a Storm-0866.<\/p>\n Otro punto en com\u00fan interesante entre LuaDream y KEYPLUG es que ambos implantes admiten protocolos QUIC y WebSocket para comunicaciones C2, lo que indica requisitos comunes y la probable presencia de un intendente digital detr\u00e1s de la coordinaci\u00f3n. <\/p>\n “El orden en el que LuaDream y KEYPLUG eval\u00faan el protocolo configurado entre HTTP, TCP, WebSocket y QUIC es el mismo: HTTP, TCP, WebSocket y QUIC en ese orden”, dijeron los investigadores. “Los flujos de ejecuci\u00f3n de alto nivel de LuaDream y KEYPLUG son muy similares”.<\/p>\n La adopci\u00f3n de Lua es otra se\u00f1al de que los actores de amenazas, tanto alineados con el Estado-naci\u00f3n como centrados en el cibercrimen, est\u00e1n poniendo cada vez m\u00e1s sus miras en lenguajes de programaci\u00f3n poco comunes como DLang y nim<\/a> para evadir la detecci\u00f3n y persistir en los entornos de las v\u00edctimas durante largos per\u00edodos de tiempo.<\/p>\n El malware basado en Lua, en particular, se ha detectado s\u00f3lo un pu\u00f1ado de veces en la \u00faltima d\u00e9cada. Esto incluye Flame, Animal Farm (tambi\u00e9n conocido como SNOWGLOBE) y Project Sauron.<\/p>\n “Existen fuertes superposiciones en la infraestructura operativa, los objetivos y los TTP que asocian el Sandman APT con adversarios con sede en China que utilizan la puerta trasera KEYPLUG, STORM-0866\/Red Dev 40 en particular”, dijeron los investigadores. “Esto pone de relieve la compleja naturaleza del panorama de amenazas chino”.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/12\/Investigadores-desenmascaran-el-vinculo-oculto-de-Sandman-APT-con-la.jpg\")
<\/a><\/div>\n<\/a><\/center><\/div>\n