Un grupo de estado-naci\u00f3n vinculado a China llamado TAG-112 comprometi\u00f3 los sitios web de medios y universidades tibetanos en una nueva campa\u00f1a de ciberespionaje dise\u00f1ada para facilitar la entrega del conjunto de herramientas posteriores a la explotaci\u00f3n de Cobalt Strike para la recopilaci\u00f3n de informaci\u00f3n de seguimiento.<\/p>\n
“Los atacantes incorporaron JavaScript malicioso en estos sitios, lo que falsific\u00f3 un error de certificado TLS para enga\u00f1ar a los visitantes para que descargaran un certificado de seguridad disfrazado”, Insikt Group de Recorded Future. dicho<\/a>.<\/p>\n “Este malware, utilizado a menudo por actores de amenazas para acceso remoto y post-explotaci\u00f3n, pone de relieve un enfoque continuo de ciberespionaje en entidades tibetanas”.<\/p>\n Los compromisos se han atribuido a un grupo de amenazas patrocinado por el estado llamado TAG-112, que ha sido descrito como un posible subgrupo de otro grupo rastreado como Evasive Panda (tambi\u00e9n conocido como Bronze Highland, Daggerfly, StormBamboo y TAG-102) debido a superposiciones t\u00e1cticas y su ataque hist\u00f3rico a entidades tibetanas.<\/p>\n Los dos sitios web de la comunidad tibetana que fueron vulnerados por el colectivo adversario a finales de mayo de 2024 fueron Tibet Post (tibetpost[.]net) y la Universidad T\u00e1ntrica Gyudmed (gyudmedtantricuniversity[.]org).<\/p>\n Espec\u00edficamente, se descubri\u00f3 que los sitios web comprometidos fueron manipulados para solicitar a los visitantes de los sitios que descargaran un ejecutable malicioso disfrazado de “certificado de seguridad” que cargaba una carga \u00fatil de Cobalt Strike al momento de la ejecuci\u00f3n.<\/p>\n Se dice que el JavaScript que hizo esto posible se carg\u00f3 en los sitios probablemente utilizando una vulnerabilidad de seguridad en su sistema de gesti\u00f3n de contenidos, Joomla.<\/p>\n “El JavaScript malicioso es activado por el evento window.onload”, dijo Recorded Future. “Primero verifica el sistema operativo del usuario y el tipo de navegador web; es probable que esto filtre los sistemas operativos que no sean Windows, ya que esta funci\u00f3n finalizar\u00e1 el script si no se detecta Windows”.<\/p>\n La informaci\u00f3n del navegador (es decir, Google Chrome o Microsoft Edge) se env\u00eda luego a un servidor remoto (update.maskrisks[.]com), que devuelve una plantilla HTML que es una versi\u00f3n modificada del navegador respectivo P\u00e1gina de error del certificado TLS<\/a> eso generalmente se muestra cuando hay un problema con el certificado TLS del host.<\/p>\n El JavaScript, adem\u00e1s de mostrar la alerta de certificado de seguridad falso, inicia autom\u00e1ticamente la descarga de un supuesto certificado de seguridad para el dominio *.dnspod[.]cn, pero, en realidad, es un ejecutable firmado leg\u00edtimo que carga una carga \u00fatil de Cobalt Strike Beacon mediante la carga lateral de DLL.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/TAG-112-vinculado-a-China-apunta-a-los-medios-tibetanos-con.png\")
<\/a><\/center><\/div>\n