El actor de amenazas vinculado a China conocido como Panda evasivo<\/strong> comprometi\u00f3 a un proveedor de servicios de Internet (ISP) an\u00f3nimo para enviar actualizaciones de software malicioso a las empresas objetivo a mediados de 2023, lo que pone de relieve un nuevo nivel de sofisticaci\u00f3n asociado con el grupo.<\/p>\n Evasive Panda, tambi\u00e9n conocido por los nombres Bronze Highland, Daggerfly y StormBamboo, es un grupo de espionaje cibern\u00e9tico que ha estado activo desde al menos 2012, aprovechando puertas traseras como MgBot (tambi\u00e9n conocido como POCOSTICK) y Nightdoor (tambi\u00e9n conocido como NetMM y Suzafk) para recopilar informaci\u00f3n confidencial.<\/p>\n M\u00e1s recientemente, se atribuy\u00f3 formalmente al actor de amenazas el uso de una cepa de malware para macOS llamada MACMA, que se ha observado en actividad desde 2021.<\/p>\n “StormBamboo es un actor de amenazas altamente calificado y agresivo que compromete a terceros (en este caso, un ISP) para vulnerar los objetivos previstos”, Volexity dicho<\/a> en un informe publicado la semana pasada.<\/p>\n “La variedad de malware empleado en varias campa\u00f1as por este actor de amenazas indica que se invierte un esfuerzo significativo, con cargas \u00fatiles respaldadas activamente no solo para macOS y Windows, sino tambi\u00e9n para dispositivos de red”.<\/p>\n Los informes p\u00fablicos de ESET y Symantec durante los \u00faltimos dos a\u00f1os han documentado el uso de MgBot por parte de Evasive Panda y su historial de orquestaci\u00f3n de ataques a pozos de agua y cadenas de suministro dirigidos a usuarios tibetanos.<\/p>\n Tambi\u00e9n se descubri\u00f3 que hab\u00eda atacado a una organizaci\u00f3n no gubernamental (ONG) internacional en China continental con MgBot distribuido a trav\u00e9s de canales de actualizaci\u00f3n de aplicaciones leg\u00edtimas como Tencent QQ.<\/p>\n Si bien se especul\u00f3 que las actualizaciones troyanizadas fueron el resultado de un compromiso de la cadena de suministro de los servidores de actualizaci\u00f3n de Tencent QQ o un caso de un ataque de adversario en el medio (AitM), el an\u00e1lisis de Volexity confirma que este \u00faltimo se debe a un ataque de envenenamiento de DNS a nivel de ISP.<\/p>\n En concreto, se dice que el actor de la amenaza est\u00e1 alterando las respuestas de las consultas DNS para dominios espec\u00edficos vinculados a mecanismos autom\u00e1ticos de actualizaci\u00f3n de software, yendo tras software que utiliza mecanismos de actualizaci\u00f3n inseguros, como HTTP, o que no aplica controles de integridad adecuados de los instaladores.<\/p>\n “Se descubri\u00f3 que StormBamboo envenen\u00f3 las solicitudes DNS para implementar malware a trav\u00e9s de un mecanismo de actualizaci\u00f3n autom\u00e1tica HTTP y envenen\u00f3 las respuestas de nombres de host leg\u00edtimos que se usaron como servidores de comando y control (C2) de segunda etapa”, dijeron los investigadores Ankur Saini, Paul Rascagneres, Steven Adair y Thomas Lancaster.<\/p>\n Las cadenas de ataque son bastante sencillas, ya que se abusa de los mecanismos de actualizaci\u00f3n inseguros para enviar MgBot o MACMA, seg\u00fan el sistema operativo utilizado. Volexity afirm\u00f3 que notific\u00f3 al ISP en cuesti\u00f3n para que remediara el ataque de envenenamiento de DNS.<\/p>\n Un caso tambi\u00e9n implic\u00f3 la implementaci\u00f3n de una extensi\u00f3n de Google Chrome en el dispositivo macOS de la v\u00edctima modificando el archivo de preferencias seguras. El complemento del navegador pretende ser una herramienta que carga una p\u00e1gina en modo de compatibilidad con Internet Explorer, pero su objetivo principal es exfiltrar cookies del navegador a una cuenta de Google Drive controlada por el adversario.<\/p>\n “El atacante puede interceptar solicitudes DNS y envenenarlas con direcciones IP maliciosas, y luego usar esta t\u00e9cnica para abusar de los mecanismos de actualizaci\u00f3n autom\u00e1tica que utilizan HTTP en lugar de HTTPS”, dijeron los investigadores.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Hackers-vinculados-a-China-comprometen-a-ISP-para-implementar-actualizaciones.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n