Un actor de amenazas previamente indocumentado alineado con China ha sido vinculado a una serie de ataques de adversario en el medio (AitM) que secuestran solicitudes de actualizaci\u00f3n de software leg\u00edtimo para entregar un sofisticado implante llamado NSPX30.<\/p>\n
La empresa eslovaca de ciberseguridad ESET est\u00e1 rastreando el grupo de amenazas persistentes avanzadas (APT) con el nombre Madera negra<\/strong>. Se dice que est\u00e1 activo desde al menos 2018.<\/p>\n Se ha observado que el implante NSPX30 se implement\u00f3 a trav\u00e9s de mecanismos de actualizaci\u00f3n de software conocido como Tencent QQ, WPS Office y Sogou Pinyin, y los ataques se dirigieron a empresas de fabricaci\u00f3n, comercio e ingenier\u00eda chinas y japonesas, as\u00ed como a personas ubicadas en China, Jap\u00f3n. y el reino unido<\/p>\n “NSPX30 es un implante multietapa que incluye varios componentes como un gotero, un instalador, un cargador, un orquestador y una puerta trasera”, explic\u00f3 el investigador de seguridad Facundo Mu\u00f1oz. dicho<\/a>. “Los dos \u00faltimos tienen sus propios conjuntos de complementos”.<\/p>\n “El implante fue dise\u00f1ado en torno a la capacidad de los atacantes para interceptar paquetes, permitiendo a los operadores NSPX30 ocultar su infraestructura”.<\/p>\n Los or\u00edgenes de la puerta trasera, que tambi\u00e9n es capaz de eludir varias soluciones antimalware chinas al incluirse en la lista de permitidos, se remontan a otro malware de enero de 2005 cuyo nombre en c\u00f3digo es Proyecto Wood, que est\u00e1 dise\u00f1ado para recolectar informaci\u00f3n del sistema y de la red, registrar las pulsaciones de teclas y tomar capturas de pantalla de los sistemas v\u00edctimas.<\/p>\n El c\u00f3digo base del Proyecto Wood ha actuado como base para varios implantes, incluidas variantes de generaci\u00f3n como MCD<\/a> (tambi\u00e9n conocido como Espectro oscuro<\/a>) en 2008, y el malware se utiliz\u00f3 posteriormente en ataques dirigidos a personas de inter\u00e9s en Hong Kong y el \u00e1rea de la Gran China en 2012<\/a> y 2014<\/a>.<\/p>\n NSPX30, la \u00faltima versi\u00f3n del implante, se entrega cuando los intentos de descargar actualizaciones de software de servidores leg\u00edtimos utilizando el protocolo HTTP (sin cifrar) resultan en un compromiso del sistema, allanando el camino para la implementaci\u00f3n de un archivo DLL cuentagotas.<\/p>\n El dropper malicioso implementado como parte del proceso de actualizaci\u00f3n comprometido crea varios archivos en el disco y ejecuta “RsStub.exe”, un binario asociado con el software Rising Antivirus para iniciar “comx3.dll” aprovechando el hecho de que el primero est\u00e1 susceptible a la carga lateral de DLL.<\/p>\n “comx3.dll” funciona como un cargador para ejecutar un tercer archivo llamado “comx3.dll.txt”, que es una biblioteca de instalaci\u00f3n responsable de activar la cadena de ataque de la siguiente etapa que culmina con la ejecuci\u00f3n del componente orquestador (“WIN. cfg”).<\/p>\n Actualmente no se sabe c\u00f3mo los actores de amenazas entregan el cuentagotas en forma de actualizaciones maliciosas, pero los actores de amenazas chinos como BlackTech, Evasive Panda, Judgement Panda y Mustang Panda han aprovechado los enrutadores comprometidos como canal para distribuir malware en el pasado.<\/p>\n ESET especula que los atacantes “est\u00e1n implementando un implante de red en las redes de las v\u00edctimas, posiblemente en dispositivos de red vulnerables como enrutadores o puertas de enlace”.<\/p>\n “El hecho de que no hayamos encontrado indicios de redirecci\u00f3n de tr\u00e1fico a trav\u00e9s de DNS podr\u00eda indicar que cuando el hipot\u00e9tico implante de red intercepta el tr\u00e1fico HTTP no cifrado relacionado con las actualizaciones, responde con el cuentagotas del implante NSPX30 en forma de una DLL, un archivo ejecutable o un ZIP. archivo que contiene la DLL.”<\/p>\n Luego, el orquestador procede a crear dos subprocesos, uno para obtener la puerta trasera (“msfmtkl.dat”) y otro para cargar sus complementos y agregar exclusiones a la lista de permitidos de las DLL del cargador para evitar las soluciones antimalware chinas.<\/p>\n La puerta trasera se descarga mediante una solicitud HTTP al sitio web de Baidu www.baidu.[.]com, un motor de b\u00fasqueda chino leg\u00edtimo, con una cadena de agente de usuario inusual que hace pasar la solicitud como si se originara en el navegador Internet Explorer en Windows 98.<\/p>\n Luego, la respuesta del servidor se guarda en un archivo del cual se extrae el componente de puerta trasera y se carga en la memoria.<\/p>\n NSPX30, como parte de su fase de inicializaci\u00f3n, tambi\u00e9n crea un socket de escucha UDP pasivo para recibir comandos del controlador y extraer datos probablemente interceptando paquetes de consulta DNS para anonimizar su infraestructura de comando y control (C2).<\/p>\n Las instrucciones permiten que la puerta trasera cree un shell inverso, recopile informaci\u00f3n de archivos, finalice procesos espec\u00edficos, capture capturas de pantalla, registre pulsaciones de teclas e incluso se desinstale de la m\u00e1quina infectada.<\/p>\n La divulgaci\u00f3n se produce semanas despu\u00e9s de que SecurityScorecard revelara una nueva infraestructura conectada a otro grupo de ciberespionaje del nexo de Beijing conocido como Volt Typhoon (tambi\u00e9n conocido como Bronze Silhouette) que aprovecha una botnet creada mediante la explotaci\u00f3n de fallas de seguridad conocidas en los enrutadores Cisco RV320\/325 al final de su vida \u00fatil (CVE-2019-1652<\/a> y CVE-2019-1653<\/a>) que opera en Europa, Am\u00e9rica del Norte y Asia Pac\u00edfico.<\/p>\n “Aproximadamente el 30% de ellos (325 de 1116 dispositivos) se comunicaron con dos direcciones IP previamente denominadas enrutadores proxy utilizados para comunicaciones de comando y control (C2), 174.138.56[.]21 y 159.203.113[.]25, en un per\u00edodo de treinta d\u00edas”, la empresa dicho<\/a>.<\/p>\n “Volt Typhoon puede intentar utilizar estos dispositivos comprometidos para transferir datos robados o conectarse a las redes de las organizaciones objetivo”.<\/p>\n <\/p>\n![\"Actualizaciones](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/Hackers-respaldados-por-China-secuestran-actualizaciones-de-software-para-implantes.jpg\" "\\"Actualizaciones")
<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n