Un presunto grupo de ciberespionaje del nexo con China ha sido atribuido a ataques dirigidos a grandes proveedores de servicios de TI de empresa a empresa en el sur de Europa como parte de una campa\u00f1a con el nombre en c\u00f3digo Operaci\u00f3n Ojo Digital<\/strong>.<\/p>\n Las intrusiones tuvieron lugar desde finales de junio hasta mediados de julio de 2024, dijeron las empresas de ciberseguridad SentinelOne SentinelLabs y Tinexta Cyber \u200b\u200ben un informe conjunto compartido con The Hacker News, y agregaron que las actividades fueron detectadas y neutralizadas antes de que pudieran pasar a la fase de exfiltraci\u00f3n de datos.<\/p>\n “Las intrusiones podr\u00edan haber permitido a los adversarios establecer puntos de apoyo estrat\u00e9gicos y comprometer entidades posteriores”, afirman los investigadores de seguridad Aleksandar Milenkoski y Luigi Martire. dicho<\/a>.<\/p>\n “Los actores de amenazas abusaron de Visual Studio Code y la infraestructura de Microsoft Azure para C2 [command-and-control] fines, intentando evadir la detecci\u00f3n haciendo que las actividades maliciosas parezcan leg\u00edtimas”.<\/p>\n Actualmente no se sabe qu\u00e9 grupo de hackers vinculado a China est\u00e1 detr\u00e1s de los ataques, un aspecto complicado por el amplio intercambio de herramientas e infraestructura entre los actores de amenazas alineados con la naci\u00f3n del este de Asia. <\/p>\n Un elemento central de Operation Digital Eye es la utilizaci\u00f3n de Microsoft Visual Studio Code como arma T\u00faneles remotos<\/a> para C2, una caracter\u00edstica leg\u00edtima que permite el acceso remoto a puntos finales, otorgando a los atacantes la capacidad de ejecutar comandos arbitrarios y manipular archivos.<\/p>\n Parte de la raz\u00f3n por la que los piratas inform\u00e1ticos respaldados por el gobierno utilizan dicha infraestructura de nube p\u00fablica es para que su actividad se mezcle con el tr\u00e1fico t\u00edpico que ven los defensores de la red. Adem\u00e1s, dichas actividades emplean ejecutables leg\u00edtimos que no est\u00e1n bloqueados por controles de aplicaciones ni reglas de firewall.<\/p>\n Las cadenas de ataque observadas por las empresas implican el uso de inyecci\u00f3n SQL<\/a> como vector de acceso inicial para violar aplicaciones conectadas a Internet y servidores de bases de datos. La inyecci\u00f3n de c\u00f3digo se logra mediante una herramienta leg\u00edtima de prueba de penetraci\u00f3n llamada SQLmap que automatiza el proceso de detecci\u00f3n y explotaci\u00f3n de fallas de inyecci\u00f3n SQL.<\/p>\n A un ataque exitoso le sigue la implementaci\u00f3n de un shell web basado en PHP denominado PHPsert que permite a los actores de amenazas mantener un punto de apoyo y establecer un acceso remoto persistente. Los pasos posteriores incluyen reconocimiento, recolecci\u00f3n de credenciales y movimiento lateral a otros sistemas en la red utilizando el Protocolo de escritorio remoto (RDP) y t\u00e9cnicas de paso de hash.<\/p>\n “Para los ataques pass-the-hash, utilizaron una versi\u00f3n modificada personalizada de Mimikatz”, dijeron los investigadores. La herramienta “permite la ejecuci\u00f3n de procesos dentro del contexto de seguridad de un usuario aprovechando un hash de contrase\u00f1a NTLM comprometido, evitando la necesidad de la contrase\u00f1a real del usuario”.<\/p>\n Las superposiciones sustanciales del c\u00f3digo fuente sugieren que la herramienta personalizada se origina en la misma fuente que las observadas exclusivamente en actividades sospechosas de ciberespionaje chino, como la Operaci\u00f3n Soft Cell y la Operaci\u00f3n Amor Contaminado. Estas modificaciones personalizadas de Mimikatz, que tambi\u00e9n incluyen certificados de firma de c\u00f3digo compartido y el uso de mensajes de error personalizados \u00fanicos o t\u00e9cnicas de ofuscaci\u00f3n, se denominaron colectivamente mimCN.<\/p>\n “La evoluci\u00f3n a largo plazo y el control de versiones de las muestras de mimCN, junto con caracter\u00edsticas notables como instrucciones dejadas para un equipo separado de operadores, sugieren la participaci\u00f3n de un proveedor compartido o intendente digital responsable del mantenimiento activo y el aprovisionamiento de herramientas”, dijeron los investigadores. se\u00f1al\u00f3.<\/p>\n “Esta funci\u00f3n dentro del ecosistema APT chino, corroborada por la filtraci\u00f3n de I-Soon, probablemente desempe\u00f1a un papel clave a la hora de facilitar las operaciones de ciberespionaje del nexo con China”.<\/p>\n Tambi\u00e9n es de destacar la dependencia de SSH y Visual Studio Code Remote Tunnels para la ejecuci\u00f3n remota de comandos, y los atacantes utilizan cuentas de GitHub para autenticarse y conectarse al t\u00fanel<\/a> para acceder al punto final comprometido a trav\u00e9s de la versi\u00f3n basada en navegador de Visual Studio Code (“vscode[.]desarrollador”).<\/p>\n Dicho esto, no se sabe si los actores de amenazas utilizaron cuentas de GitHub reci\u00e9n registradas o ya comprometidas para autenticarse en los t\u00faneles.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/12\/Los-piratas-informaticos-utilizan-los-tuneles-remotos-de-Visual-Studio.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n