El grupo de amenaza persistente avanzada (APT) vinculado a China, conocido como Panda Mustang<\/strong> Se ha observado que utiliza el software Visual Studio Code como arma como parte de operaciones de espionaje dirigidas a entidades gubernamentales en el sudeste asi\u00e1tico.<\/p>\n “Este actor de amenazas utiliz\u00f3 la funci\u00f3n de shell inverso integrada de Visual Studio Code para afianzarse en las redes objetivo”, dijo el investigador de la Unidad 42 de Palo Alto Networks, Tom Fakterman. dicho<\/a> en un informe, describi\u00e9ndolo como una “t\u00e9cnica relativamente nueva” que fue primero demostrado<\/a> en septiembre de 2023 por Truvis Thornton.<\/p>\n Se considera que la campa\u00f1a es una continuaci\u00f3n de una actividad de ataque previamente documentada dirigida a una entidad gubernamental an\u00f3nima del sudeste asi\u00e1tico a fines de septiembre de 2023.<\/p>\n Mustang Panda, tambi\u00e9n conocido por los nombres BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta y Red Lich, ha estado operativo desde 2012, realizando rutinariamente campa\u00f1as de espionaje cibern\u00e9tico dirigidas a entidades gubernamentales y religiosas en Europa y Asia, particularmente aquellas ubicadas en pa\u00edses del Mar de China Meridional.<\/p>\n La \u00faltima secuencia de ataque observada se destaca por el abuso del shell inverso de Visual Studio Code para ejecutar c\u00f3digo arbitrario y entregar cargas \u00fatiles adicionales.<\/p>\n “Para abusar de Visual Studio Code con fines maliciosos, un atacante puede utilizar la versi\u00f3n port\u00e1til de code.exe (el archivo ejecutable de Visual Studio Code) o una versi\u00f3n ya instalada del software”, se\u00f1al\u00f3 Fakterman. “Al ejecutar el comando code.exe tunnel, un atacante recibe un enlace que le exige iniciar sesi\u00f3n en GitHub con su propia cuenta”.<\/p>\n Una vez completado este paso, el atacante es redirigido a un entorno web de Visual Studio Code que est\u00e1 conectado a la m\u00e1quina infectada, lo que le permite ejecutar comandos o crear archivos nuevos.<\/p>\n Vale la pena se\u00f1alar que el uso malicioso de esta t\u00e9cnica fue destacado previamente por la firma de ciberseguridad holandesa mnemonic en relaci\u00f3n con la explotaci\u00f3n de d\u00eda cero de una vulnerabilidad en los productos de puerta de enlace de seguridad de red de Check Point (CVE-2024-24919, puntuaci\u00f3n CVSS: 8,6) a principios de este a\u00f1o.<\/p>\n La Unidad 42 afirm\u00f3 que el actor de Mustang Panda aprovech\u00f3 el mecanismo para distribuir malware, realizar tareas de reconocimiento y extraer datos confidenciales. Adem\u00e1s, se dice que el atacante utiliz\u00f3 OpenSSH para ejecutar comandos, transferir archivos y propagarse por la red.<\/p>\n Pero eso no es todo. Un an\u00e1lisis m\u00e1s detallado del entorno infectado ha revelado un segundo grupo de actividades “que se producen simult\u00e1neamente y a veces incluso en los mismos puntos finales” que utilizan el malware ShadowPad, una puerta trasera modular ampliamente compartida por los grupos de espionaje chinos.<\/p>\n Actualmente no est\u00e1 claro si estos dos conjuntos de intrusiones est\u00e1n relacionados entre s\u00ed o si dos grupos diferentes est\u00e1n “aprovech\u00e1ndose del acceso del otro”.<\/p>\n “Bas\u00e1ndonos en las pruebas forenses y en la cronolog\u00eda, se podr\u00eda concluir que estos dos grupos se originaron a partir del mismo actor de amenazas (Stately Taurus)”, dijo Fakterman. “Sin embargo, podr\u00eda haber otras explicaciones posibles que expliquen esta conexi\u00f3n, como un esfuerzo colaborativo entre dos actores de amenazas APT chinos”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Hackers-chinos-explotan-codigo-de-Visual-Studio-en-ciberataques-en.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n