Los investigadores de ciberseguridad han arrojado luz sobre un nuevo actor de amenaza vinculada a China Tierra alux<\/strong> Eso ha apuntado a varios sectores clave como el gobierno, la tecnolog\u00eda, la log\u00edstica, la fabricaci\u00f3n, las telecomunicaciones, los servicios de TI y el comercio minorista en las regiones de Asia-Pac\u00edfico (APAC) y Am\u00e9rica Latina (LATAM).<\/p>\n “El primer avistamiento de su actividad fue en el segundo trimestre de 2023; en aquel entonces, se observ\u00f3 predominantemente en la regi\u00f3n de APAC”, los investigadores de la tendencia Lenart Bermejo, Ted Lee y Theo Chen dicho<\/a> En un informe t\u00e9cnico publicado el lunes. “A mediados de 2024, tambi\u00e9n fue visto en Am\u00e9rica Latina”.<\/p>\n Los objetivos principales de los pa\u00edses del tramo colectivo adversario como Tailandia, Filipinas, Malasia, Taiw\u00e1n y Brasil.<\/p>\n Las cadenas de infecci\u00f3n comienzan con la explotaci\u00f3n de servicios vulnerables en aplicaciones web expuestas a Internet, utiliz\u00e1ndolas para soltar el shell web de Godzilla para facilitar el despliegue de cargas \u00fatiles adicionales, incluidas las puertas traseras denominadas Vargeit y Cobeacon (tambi\u00e9n conocido como Cobalt Strike Beacon).<\/p>\n Vargeit ofrece la capacidad de cargar herramientas directamente desde su servidor de comando y control (C&C) a un proceso recientemente generado de Microsoft Paint (“msPaint.exe”) para facilitar el reconocimiento, la recolecci\u00f3n y la exfiltraci\u00f3n.<\/p>\n “Vargeit es tambi\u00e9n el m\u00e9todo principal a trav\u00e9s del cual Earth Alux opera herramientas suplementarias para diversas tareas, como el movimiento lateral y el descubrimiento de redes de manera sin archivo”, dijeron los investigadores.<\/p>\n Un punto que vale la pena mencionar aqu\u00ed es que, si bien Vargeit se usa como una puerta trasera primera, segunda o etapa posterior, Cobeacon se emplea como puerta trasera en la primera etapa. Este \u00faltimo se lanza mediante un cargador denominado maskloader, o mediante rsbinject, un cargador de shell -code de l\u00ednea de comandos basado en \u00f3xido.<\/p>\n Tambi\u00e9n se han observado iteraciones posteriores de MASQLoader implementando una t\u00e9cnica de enganche anti-API que sobrescribe cualquier gancho de NTDLL.DLL insertado por programas de seguridad para detectar procesos sospechosos que se ejecutan en Windows, lo que permite que el malware y la carga de pago integrado vuelan bajo el radar.<\/p>\n La ejecuci\u00f3n de VargeIT da como resultado la implementaci\u00f3n de m\u00e1s herramientas, incluido un componente de cargador con nombre en c\u00f3digo Railload que se ejecuta utilizando una t\u00e9cnica conocida como carga lateral de DLL, y se utiliza para ejecutar una carga \u00fatil cifrada ubicada en una carpeta diferente. <\/p>\n La segunda carga \u00fatil es una persistencia y timborming<\/a> El m\u00f3dulo se conoce como RailSetter que altera las marcas de tiempo asociadas con los artefactos de Railload en el host comprometido, junto con la creaci\u00f3n de una tarea programada para lanzar Railload.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/Earth-Alux-unida-a-China-usa-Vargeit-y-Cobeacon-en.jpg\"){kind=tracking}
<\/a><\/center><\/div>\n<\/a><\/div>\n