El grupo de espionaje cibern\u00e9tico de China-Nexus rastreado como UNC3886 se ha observado que se dirige a los enrutadores MX al final de la vida de las redes de Juniper como parte de una campa\u00f1a dise\u00f1ada para implementar puertas traseras personalizadas, destacando su capacidad de enfocarse en la infraestructura interna de redes.<\/p>\n
“Las puertas traseras ten\u00edan diferentes capacidades personalizadas, incluidas las funciones de puerta trasera activa y pasiva, as\u00ed como un script integrado que deshabilita los mecanismos de registro en el dispositivo de destino,” Mandiant propiedad de Google dicho<\/a> En un informe compartido con The Hacker News.<\/p>\n La firma de inteligencia de amenazas describi\u00f3 el desarrollo como una evoluci\u00f3n de la artesan\u00eda del adversario, que hist\u00f3ricamente ha aprovechado las vulnerabilidades de d\u00eda cero en los dispositivos Fortinet, Ivanti y VMware para violar las redes de inter\u00e9s y establecer persistencia para el acceso remoto.<\/p>\n Documentado por primera vez en septiembre de 2022, se eval\u00faa que el equipo de pirater\u00eda es “altamente experto” y capaz de dirigirse a dispositivos de borde y tecnolog\u00edas de virtualizaci\u00f3n con el objetivo final de violar la defensa, la tecnolog\u00eda y las organizaciones de telecomunicaciones ubicadas en los Estados Unidos y Asia.<\/p>\n Estos ataques generalmente aprovechan el hecho de que tales dispositivos perimetrales de red carecen de soluciones de monitoreo y detecci\u00f3n de seguridad, lo que les permite operar sin obst\u00e1culos y sin llamar la atenci\u00f3n.<\/p>\n “El compromiso de los dispositivos de enrutamiento es una tendencia reciente en las t\u00e1cticas de los adversarios motivados por espionaje, ya que otorga la capacidad de un acceso de alto nivel a largo plazo a la infraestructura de enrutamiento crucial, con el potencial de acciones m\u00e1s disruptivas en el futuro”, dijo Mandiant.<\/p>\n La \u00faltima actividad, manchada a mediados de 2024, implica el uso de implantes que se basan en Peque\u00f1o<\/a>una puerta trasera basada en C que ha sido utilizada por varios grupos de pirater\u00eda chinos como el panda liminal y la hormiga terciopel en el pasado.<\/p>\n Mandiant dijo que identific\u00f3 seis puertas traseras distintas de TinyShell, cada una con una capacidad \u00fanica,<\/p>\n Tambi\u00e9n es notable tomar medidas para ejecutar el malware el sorteo ‘Ejec verificado del sistema operativo Junos (veriexec<\/a>) Protecciones, que evitan que el c\u00f3digo no confiable se ejecute. Esto se logra obteniendo acceso privilegiado a un enrutador desde un servidor terminal utilizado para administrar dispositivos de red utilizando credenciales leg\u00edtimas.<\/p>\n Los permisos elevados se utilizan para inyectar las cargas de \u00fatiles maliciosas en la memoria de un proceso de gato leg\u00edtimo, lo que resulta en la ejecuci\u00f3n de la puerta trasera de LMPAD mientras Veriexec est\u00e1 habilitado.<\/p>\n “El objetivo principal de este malware es deshabilitar todos los registros posibles antes de que el operador se conecte al enrutador para realizar actividades pr\u00e1cticas y luego restaurar los registros despu\u00e9s de que el operador se desconecte”, se\u00f1al\u00f3 Mandiant.<\/p>\n Algunas de las otras herramientas desplegadas por UNC3886 incluyen Rootkits como Reptile y Medusa; Pithook para secuestrar autenticaciones SSH y capturar credenciales de SSH; y Ghosttown para fines anti-forenses.<\/p>\n Se recomienda a las organizaciones que actualicen sus dispositivos Juniper al \u00daltimas im\u00e1genes<\/a> Lanzado por Juniper Networks, que incluye mitigaciones y firmas actualizadas para la herramienta de eliminaci\u00f3n de malware de Juniper (Jmrt<\/a>).<\/p>\n El desarrollo se produce poco m\u00e1s de un mes despu\u00e9s de que Lumen Black Lotus Labs revel\u00f3 que los enrutadores de redes de enebro de grado empresarial se han convertido en el objetivo de una puerta trasera personalizada como parte de una campa\u00f1a denominada J-Magic que ofrece una variante de una conocida puerta trasera llamada CD00R.<\/p>\n “El malware implementado en los enrutadores del sistema operativo Junos de Juniper Networks demuestra que UNC3886 tiene un conocimiento profundo de los internales del sistema avanzado”, dijeron los investigadores de Mandiant.<\/p>\n “Adem\u00e1s, UNC3886 contin\u00faa priorizando el sigilo en sus operaciones mediante el uso de puertas traseras pasivas, junto con la manipulaci\u00f3n de artefactos log y forenses, lo que indica un enfoque en la persistencia a largo plazo, al tiempo que minimiza el riesgo de detecci\u00f3n”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Los-piratas-informaticos-chinos-violan-los-enrutadores-de-Networks-con.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n