Un instituto de investigaci\u00f3n afiliado al gobierno de Taiw\u00e1n que se especializa en inform\u00e1tica y tecnolog\u00edas asociadas fue violado por actores de amenazas de estados nacionales con v\u00ednculos con China, seg\u00fan nuevos hallazgos de Cisco Talos.<\/p>\n
La organizaci\u00f3n an\u00f3nima fue atacada a mediados de julio de 2023 para ofrecer una variedad de puertas traseras y herramientas posteriores a la vulneraci\u00f3n, como ShadowPad y Cobalt Strike. Se la ha atribuido con cierta certeza a un prol\u00edfico grupo de piratas inform\u00e1ticos identificado como APT41.<\/p>\n
“El malware ShadowPad utilizado en la campa\u00f1a actual explot\u00f3 una versi\u00f3n vulnerable y obsoleta del binario IME de Microsoft Office como cargador para cargar el cargador de segunda etapa personalizado para lanzar la carga \u00fatil”, dijeron los investigadores de seguridad Joey Chen, Ashley Shen y Vitor Ventura. dicho<\/a>.<\/p>\n “El actor de amenazas comprometi\u00f3 tres hosts en el entorno objetivo y pudo filtrar algunos documentos de la red”.<\/p>\n Cisco Talos dijo que descubri\u00f3 la actividad en agosto de 2023 despu\u00e9s de detectar lo que describi\u00f3 como “comandos de PowerShell anormales” que se conectaban a una direcci\u00f3n IP para descargar y ejecutar scripts de PowerShell dentro del entorno comprometido.<\/p>\n No se conoce el vector de acceso inicial exacto utilizado en el ataque, aunque implic\u00f3 el uso de un shell web para mantener el acceso persistente y soltar cargas \u00fatiles adicionales como ShadowPad y Cobalt Strike, este \u00faltimo entregado por medio de un cargador Cobalt Strike basado en Go llamado CS-Evitar matar<\/a>.<\/p>\n “El malware Cobalt Strike se desarroll\u00f3 utilizando un cargador anti-AV para evitar la detecci\u00f3n de AV y evitar la cuarentena del producto de seguridad”, dijeron los investigadores.<\/p>\n Alternativamente, se observ\u00f3 que el actor de amenazas ejecutaba comandos de PowerShell para iniciar scripts responsables de ejecutar ShadowPad en la memoria y obtener el malware Cobalt Strike de un servidor de comando y control (C2) comprometido. El cargador ShadowPad basado en DLL, tambi\u00e9n llamado Abeja dispersa<\/a>se ejecuta mediante carga lateral de DLL.<\/p>\n Algunos de los otros pasos llevados a cabo como parte de la intrusi\u00f3n incluyeron el uso de Mimikatz para extraer contrase\u00f1as y la ejecuci\u00f3n de varios comandos para recopilar informaci\u00f3n sobre cuentas de usuario, estructura de directorios y configuraciones de red.<\/p>\n “APT41 cre\u00f3 un cargador personalizado para inyectar una prueba de concepto para CVE-2018-0824<\/a> directamente en la memoria, utilizando una vulnerabilidad de ejecuci\u00f3n de c\u00f3digo remoto para lograr una escalada de privilegios locales”, dijo Talos, se\u00f1alando la carga \u00fatil final, DesmarquePwn<\/a>se desata despu\u00e9s de pasar por tres etapas diferentes.<\/p>\n El equipo de ciberseguridad tambi\u00e9n se\u00f1al\u00f3 los intentos del adversario de evitar ser detectado deteniendo su propia actividad al detectar otros usuarios en el sistema. “Una vez que se implementan las puertas traseras, el actor malicioso eliminar\u00e1 el shell web y la cuenta de invitado que permitieron el acceso inicial”, dijeron los investigadores.<\/p>\n La revelaci\u00f3n se produce mientras Alemania revel\u00f3<\/a> A principios de esta semana, actores estatales chinos estaban detr\u00e1s de un ciberataque en 2021 a la agencia cartogr\u00e1fica nacional del pa\u00eds, la Oficina Federal de Cartograf\u00eda y Geodesia (BKG), con fines de espionaje.<\/p>\n En respuesta a las acusaciones, la embajada de China en Berl\u00edn dicho<\/a> La acusaci\u00f3n es infundada y pide a Alemania “que detenga la pr\u00e1ctica de utilizar cuestiones de ciberseguridad para difamar a China pol\u00edticamente y en los medios de comunicaci\u00f3n”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Los-piratas-informaticos-de-APT41-utilizan-ShadowPad-y-Cobalt-Strike.jpg\")
<\/a><\/center><\/section>\n