Varias organizaciones que operan en los sectores de transporte y log\u00edstica global, medios de comunicaci\u00f3n y entretenimiento, tecnolog\u00eda y automoci\u00f3n en Italia, Espa\u00f1a, Taiw\u00e1n, Tailandia, Turqu\u00eda y el Reino Unido se han convertido en el objetivo de una “campa\u00f1a sostenida” por parte del prol\u00edfico grupo con sede en China. APT41<\/strong> grupo de hackers<\/p>\n “APT41 se infiltr\u00f3 con \u00e9xito y mantuvo un acceso prolongado y no autorizado a las redes de numerosas v\u00edctimas desde 2023, lo que les permiti\u00f3 extraer datos confidenciales durante un per\u00edodo prolongado”, dijo Mandiant, propiedad de Google. dicho<\/a> en un nuevo informe publicado el jueves.<\/p>\n La empresa de inteligencia sobre amenazas describi\u00f3 al colectivo adversario como \u00fanico entre los actores del nexo con China debido a su uso de “malware no p\u00fablico normalmente reservado para operaciones de espionaje en actividades que parecen quedar fuera del alcance de las misiones patrocinadas por el Estado”.<\/p>\n Las cadenas de ataque implican el uso de shells web (ANTSWORD y BLUEBEAM), cuentagotas personalizados (DUSTPAN y DUSTTRAP) y herramientas disponibles p\u00fablicamente (SQLULDR2 y PINEGROVE) para lograr persistencia, entregar cargas \u00fatiles adicionales y exfiltrar datos de inter\u00e9s.<\/p>\n Las capas web act\u00faan como un conducto para descargar el cuentagotas DUSTPAN (tambi\u00e9n conocido como StealthVector) que es responsable de cargar Cobalt Strike Beacon para la comunicaci\u00f3n de comando y control (C2), seguido por el despliegue del cuentagotas DUSTTRAP despu\u00e9s del movimiento lateral.<\/p>\n DUSTTRAP, por su parte, est\u00e1 configurado para descifrar un payload malicioso y ejecutarlo en la memoria, que, a su vez, establece contacto con un servidor controlado por el atacante o una cuenta de Google Workspace comprometida en un intento de ocultar sus actividades maliciosas.<\/p>\n Google afirm\u00f3 que las cuentas de Workspace identificadas fueron reparadas para evitar el acceso no autorizado. Sin embargo, no revel\u00f3 cu\u00e1ntas cuentas se vieron afectadas.<\/p>\n Las intrusiones tambi\u00e9n se caracterizan por el uso de SQLULDR2 para exportar datos desde bases de datos Oracle a un archivo de texto local y PINEGROVE para transmitir grandes vol\u00famenes de datos confidenciales desde redes comprometidas abusando de Microsoft OneDrive como vector de exfiltraci\u00f3n.<\/p>\n Vale la pena se\u00f1alar aqu\u00ed que las familias de malware que Mandiant rastrea como DUSTPAN y DUSTTRAP comparten superposiciones con aquellas que han sido denominadas en c\u00f3digo DodgeBox y MoonWalk, respectivamente, por Zscaler ThreatLabz.<\/p>\n “DUSTTRAP es un marco de complementos de varias etapas con m\u00faltiples componentes”, dijeron los investigadores de Mandiant, y agregaron que identific\u00f3 al menos 15 complementos que son capaces de ejecutar comandos de shell, realizar operaciones del sistema de archivos, enumerar y finalizar procesos, capturar pulsaciones de teclas y capturas de pantalla, recopilar informaci\u00f3n del sistema y modificar el Registro de Windows.<\/p>\n Tambi\u00e9n est\u00e1 dise\u00f1ado para sondear hosts remotos, realizar b\u00fasquedas en el sistema de nombres de dominio (DNS), enumerar sesiones de escritorio remoto, cargar archivos y realizar diversas manipulaciones en Microsoft Active Directory.<\/p>\n “El malware DUSTTRAP y sus componentes asociados que se observaron durante la intrusi\u00f3n estaban firmados con certificados de firma de c\u00f3digo presuntamente robados”, afirm\u00f3 la empresa. “Uno de los certificados de firma de c\u00f3digo parec\u00eda estar relacionado con una empresa surcoreana que opera en el sector de la industria del juego”.<\/p>\n La revelaci\u00f3n se produce cuando la empresa de ciberseguridad israel\u00ed Sygnia revel\u00f3 detalles de una campa\u00f1a de ciberataque montada por un sofisticado grupo de amenazas con nexo con China llamado GhostEmperor para distribuir una variante del rootkit Demodex.<\/p>\n El m\u00e9todo exacto utilizado para acceder a los objetivos no est\u00e1 claro en la actualidad, aunque se ha observado anteriormente que el grupo explotaba fallos conocidos en aplicaciones conectadas a Internet. El acceso inicial facilita la ejecuci\u00f3n de un script por lotes de Windows, que descarga un archivo CAB (Archivo de gabinete) para, en \u00faltima instancia, iniciar un m\u00f3dulo de implantaci\u00f3n central. <\/p>\n El implante est\u00e1 equipado para gestionar las comunicaciones C2 e instalar el rootkit del kernel Demodex mediante un proyecto de c\u00f3digo abierto llamado Motor de trampas<\/a> para evitar la aplicaci\u00f3n de firma del controlador de Windows (DSE<\/a>) mecanismo.<\/p>\n “GhostEmperor emplea un malware de m\u00faltiples etapas para lograr una ejecuci\u00f3n sigilosa y persistente y utiliza varios m\u00e9todos para impedir el proceso de an\u00e1lisis”, dijo el investigador de seguridad Dor Nizar. dicho<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/APT41-se-infiltra-en-redes-de-Italia-Espana-Taiwan-Turquia.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\nGhostEmperor regresa para atormentarnos<\/h3>\n