Un grupo avanzado de amenaza persistente (APT) alineada por China Thewizards<\/strong> se ha relacionado con una herramienta de movimiento lateral llamada SpellBinder que puede facilitar los ataques adversarios en el medio (AITM).<\/p>\n “SpellBinder habilita los ataques adversarios en el medio (AITM), a trav\u00e9s de la direcci\u00f3n de la direcci\u00f3n de ap\u00e1trate IPv6 (SLAAC<\/a>) paro<\/a>para moverse lateralmente en la red comprometida, interceptando paquetes y redirigiendo el tr\u00e1fico del software chino leg\u00edtimo para que descargue actualizaciones maliciosas de un servidor controlado por los atacantes “, el investigador de ESET FacUdoz Mu\u00f1oz dicho<\/a> En un informe compartido con The Hacker News.<\/p>\n El ataque allana el camino para un descargador malicioso que se entrega al secuestrar el mecanismo de actualizaci\u00f3n de software asociado con Sogou Pinyin. El descargador luego act\u00faa como un conducto para soltar un modular puerta en el nombre en c\u00f3digo Wizardnet.<\/p>\n Esta no es la primera vez que los actores de amenaza china han abusado del proceso de actualizaci\u00f3n de software de Sogou Pinyin para entregar su propio malware. En enero de 2024, ESET detall\u00f3 un grupo de pirater\u00eda conocido como Blackwood que ha implementado un implante llamado NSPX30 aprovechando el mecanismo de actualizaci\u00f3n de la aplicaci\u00f3n de software de m\u00e9todo de entrada chino.<\/p>\n Luego, a principios de este a\u00f1o, la compa\u00f1\u00eda de ciberseguridad eslovaco revel\u00f3 otro cl\u00faster de amenazas conocido como Plushdaemon que aprovech\u00f3 la misma t\u00e9cnica para distribuir un descargador personalizado llamado Littledaemon.<\/p>\n Se sabe que TheWizards APT se dirige tanto a los individuos como a los sectores de juego en Camboya, Hong Kong, China continental, Filipinas y los Emiratos \u00c1rabes Unidos.<\/p>\n La evidencia sugiere que el actor de amenazas ha utilizado la herramienta SpellBinder IPv6 AITM desde al menos 2022. Si bien el vector de acceso inicial exacto utilizado en los ataques es desconocido en esta etapa, el acceso exitoso es seguido por la entrega de un archivo ZIP que contiene cuatro archivos diferentes: avgapplicationframehost.exe, wsc.dll, log.dat y winpcap.xe.<\/p>\n Los actores de la amenaza luego proceden a instalar “WinPCap.exe” y ejecutar “AvgapplicationFrameHost.exe”, este \u00faltimo se abusa de resaltar la DLL. El archivo DLL posteriormente lee ShellCode de “Log.Dat” y lo ejecuta en la memoria, lo que hace que SpellBinder se inicie en el proceso.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/Los-piratas-informaticos-chinos-abusan-de-IPv6-SLAAC-para-ataques.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n