La Oficina Federal de Investigaciones (FBI) de EE. UU. ha buscado ayuda del p\u00fablico en relaci\u00f3n con una investigaci\u00f3n que involucra la violaci\u00f3n de dispositivos perif\u00e9ricos y redes inform\u00e1ticas pertenecientes a empresas y entidades gubernamentales.<\/p>\n
“Un grupo de amenazas persistentes avanzadas supuestamente cre\u00f3 e implement\u00f3 malware (CVE-2020-12271) como parte de una serie generalizada de intrusiones inform\u00e1ticas indiscriminadas dise\u00f1adas para exfiltrar datos confidenciales de los firewalls en todo el mundo”, la agencia dicho<\/a>.<\/p>\n “El FBI est\u00e1 buscando informaci\u00f3n sobre las identidades de los individuos responsables de estas intrusiones cibern\u00e9ticas”.<\/p>\n El desarrollo se produce a ra\u00edz de una serie de informes<\/a> publicado por el proveedor de ciberseguridad Sophos que relata un conjunto de campa\u00f1as entre 2018 y 2023 que explotaron sus dispositivos de infraestructura de borde para implementar malware personalizado o reutilizarlos como servidores proxy para evadir la detecci\u00f3n.<\/p>\n La actividad maliciosa, cuyo nombre en c\u00f3digo Cuenca del Pac\u00edfico<\/a> y dise\u00f1ado para realizar vigilancia, sabotaje y ciberespionaje, se ha atribuido a m\u00faltiples grupos patrocinados por el estado chino, incluidos APT31, APT41 y Volt Typhoon. El primer ataque se remonta a finales de 2018, cuando un ciberataque tuvo como objetivo Cyberoam, la filial india de Sophos.<\/p>\n “Los adversarios han atacado infraestructuras cr\u00edticas e instalaciones gubernamentales tanto peque\u00f1as como grandes, principalmente en el sur y sudeste de Asia, incluidos proveedores de energ\u00eda nuclear, el aeropuerto de una capital nacional, un hospital militar, el aparato de seguridad estatal y los ministerios del gobierno central”, dijo Sophos.<\/p>\n Se ha identificado que algunos de los ataques masivos posteriores aprovecharon m\u00faltiples vulnerabilidades de d\u00eda cero en los firewalls de Sophos: CVE-2020-12271<\/a>, CVE-2020-15069<\/a>, CVE-2020-29574<\/a>, CVE-2022-1040<\/a>y CVE-2022-3236<\/a> \u2013 comprometer los dispositivos y entregar cargas \u00fatiles tanto al firmware del dispositivo como a aquellos ubicados dentro de la red LAN de la organizaci\u00f3n.<\/p>\n “A partir de 2021, los adversarios parecieron cambiar el enfoque de ataques indiscriminados generalizados a ataques altamente dirigidos y de enfoque restringido contra entidades espec\u00edficas: agencias gubernamentales, infraestructura cr\u00edtica, organizaciones de investigaci\u00f3n y desarrollo, proveedores de atenci\u00f3n m\u00e9dica, comercio minorista, finanzas. “, organizaciones militares y del sector p\u00fablico principalmente en la regi\u00f3n de Asia y el Pac\u00edfico”, dijo.<\/p>\n A partir de mediados de 2022, se dice que los atacantes centraron sus esfuerzos en obtener un acceso m\u00e1s profundo a organizaciones espec\u00edficas, evadir la detecci\u00f3n y recopilar m\u00e1s informaci\u00f3n mediante la ejecuci\u00f3n manual de comandos y la implementaci\u00f3n de malware como Asnar\u00f6k, Gh0st RAT y Pygmy Goat, un sofisticado cable de puerta trasera. de proporcionar acceso remoto persistente a Sophos XG Firewalls y probablemente a otros dispositivos Linux.<\/p>\n “Aunque no contiene ninguna t\u00e9cnica novedosa, Pygmy Goat es bastante sofisticado en cuanto a c\u00f3mo permite al actor interactuar con \u00e9l bajo demanda, mientras se mezcla con el tr\u00e1fico normal de la red”, dijo el Centro Nacional de Seguridad Cibern\u00e9tica del Reino Unido (NCSC) dicho<\/a>.<\/p>\n “El c\u00f3digo en s\u00ed es limpio, con funciones breves y bien estructuradas que ayudan a la extensibilidad futura, y los errores se verifican en todo momento, lo que sugiere que fue escrito por uno o varios desarrolladores competentes”.<\/p>\n Se ha descubierto que la puerta trasera, un novedoso rootkit que toma la forma de un objeto compartido (“libsophos.so”), se entreg\u00f3 tras la explotaci\u00f3n de CVE-2022-1040. El uso del rootkit se observ\u00f3 entre marzo y abril de 2022 en un dispositivo gubernamental y un socio tecnol\u00f3gico, y nuevamente en mayo de 2022 en una m\u00e1quina en un hospital militar con sede en Asia.<\/p>\n Se ha atribuido a ser obra de un actor de amenazas chino rastreado internamente por Sophos como Tstark, que comparte v\u00ednculos con la Universidad de Ciencia y Tecnolog\u00eda Electr\u00f3nica de China (UESTC) en Chengdu.<\/p>\n Viene con la “capacidad de escuchar y responder a paquetes ICMP especialmente dise\u00f1ados, que, si los recibe un dispositivo infectado, abrir\u00edan un proxy SOCKS o una conexi\u00f3n inversa de shell a una direcci\u00f3n IP elegida por el atacante”.<\/p>\n Sophos dijo que contrarrest\u00f3 las campa\u00f1as en su etapa inicial implementando un implante de kernel propio en dispositivos propiedad de actores de amenazas chinos para llevar a cabo investigaciones de exploits maliciosos, incluidas m\u00e1quinas propiedad del Instituto de Investigaci\u00f3n Double Helix de Sichuan Silence Information Technology, ganando as\u00ed visibilidad en un “exploit de ejecuci\u00f3n remota de c\u00f3digo sigiloso y previamente desconocido” en julio de 2020.<\/p>\n Un an\u00e1lisis de seguimiento realizado en agosto de 2020 condujo al descubrimiento de una vulnerabilidad de ejecuci\u00f3n remota de c\u00f3digo posterior a la autenticaci\u00f3n de menor gravedad en un componente del sistema operativo, agreg\u00f3 la compa\u00f1\u00eda.<\/p>\n Adem\u00e1s, la empresa propiedad de Thoma Bravo dijo que ha observado un patr\u00f3n de recepci\u00f3n de informes de recompensas por errores “simult\u00e1neamente muy \u00fatiles pero sospechosos” al menos dos veces (CVE-2020-12271 y CVE-2022-1040) de lo que sospecha que son personas con v\u00ednculos. a instituciones de investigaci\u00f3n con sede en Chengdu antes de que se utilicen de forma maliciosa.<\/p>\n Los hallazgos son significativos, sobre todo porque muestran que se est\u00e1n llevando a cabo actividades activas de investigaci\u00f3n y desarrollo de vulnerabilidad en la regi\u00f3n de Sichuan, y luego transmitidas a varios grupos de primera l\u00ednea patrocinados por el estado chino con diferentes objetivos, capacidades y t\u00e9cnicas posteriores a la explotaci\u00f3n.<\/p>\n “Con Pacific Rim observamos […] “Una l\u00ednea de ensamblaje de desarrollo de exploits de d\u00eda cero asociada con instituciones educativas en Sichuan, China”, dijo Chester Wisniewski. “Estos exploits parecen haber sido compartidos con atacantes patrocinados por el estado, lo cual tiene sentido para un estado-naci\u00f3n que exige tal intercambio a trav\u00e9s de sus leyes de divulgaci\u00f3n de vulnerabilidad”.<\/p>\n El aumento de ataques a dispositivos de red perimetrales tambi\u00e9n coincide con una evaluaci\u00f3n de amenazas del Centro Canadiense para la Seguridad Cibern\u00e9tica (Cyber \u200b\u200bCenter) que revel\u00f3 que al menos 20 redes del gobierno canadiense han sido comprometidas por grupos de hackers patrocinados por el estado chino en los \u00faltimos cuatro a\u00f1os para avanzar en su intereses estrat\u00e9gicos, econ\u00f3micos y diplom\u00e1ticos.<\/p>\n Tambi\u00e9n acus\u00f3 a los actores de amenazas chinos de apuntar a su sector privado para obtener una ventaja competitiva mediante la recopilaci\u00f3n de informaci\u00f3n confidencial y patentada, adem\u00e1s de apoyar misiones de “represi\u00f3n transnacional” que buscan atacar a uigures, tibetanos, activistas a favor de la democracia y partidarios de la independencia de Taiw\u00e1n.<\/p>\n Los actores chinos de amenazas cibern\u00e9ticas “han comprometido y mantenido el acceso a m\u00faltiples redes gubernamentales durante los \u00faltimos cinco a\u00f1os, recopilando comunicaciones y otra informaci\u00f3n valiosa”, dijo. dicho<\/a>. “Los actores de amenazas enviaron mensajes de correo electr\u00f3nico con im\u00e1genes de seguimiento a los destinatarios para realizar un reconocimiento de la red”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/El-FBI-busca-ayuda-publica-para-identificar-a-los-piratas.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n