Microsoft atribuy\u00f3 el lunes a un actor de ciberespionaje con sede en China a una serie de ataques dirigidos a entidades diplom\u00e1ticas en Am\u00e9rica del Sur.<\/p>\n
El equipo de inteligencia de seguridad del gigante tecnol\u00f3gico est\u00e1 rastreando el cl\u00faster bajo el apodo emergente DEV-0147<\/strong>, describiendo<\/a> la actividad como una “expansi\u00f3n de las operaciones de exfiltraci\u00f3n de datos del grupo que tradicionalmente se dirig\u00edan a agencias gubernamentales y grupos de expertos en Asia y Europa”.<\/p>\n Se dice que el actor de amenazas utiliza herramientas de pirater\u00eda establecidas, como ShadowPad, para infiltrarse en los objetivos y mantener el acceso persistente.<\/p>\n ShadowPad, tambi\u00e9n llamado PoisonPlug, es un sucesor del troyano de acceso remoto PlugX y ha sido ampliamente utilizado por colectivos adversarios chinos con v\u00ednculos con el Ministerio de Seguridad del Estado (MSS) y el Ej\u00e9rcito Popular de Liberaci\u00f3n (PLA), seg\u00fan Secureworks.<\/p>\n Una de las otras herramientas maliciosas utilizadas por DEV-0147 es un cargador de paquetes web llamado QuasarLoader<\/b>que permite implementar cargas \u00fatiles adicionales en los hosts comprometidos.<\/p>\n Redmond no revel\u00f3 el m\u00e9todo que DEV-0147 podr\u00eda estar usando para obtener acceso inicial a un entorno de destino. Dicho esto, el phishing y la orientaci\u00f3n oportunista de aplicaciones sin parches son los vectores probables.<\/p>\n \u201cLos ataques de DEV-0147 en Sudam\u00e9rica incluyeron actividad posterior a la explotaci\u00f3n que involucr\u00f3 el abuso de la infraestructura de identidad local para reconocimiento y movimiento lateral, y el uso de Cobalt Strike para comando y control y exfiltraci\u00f3n de datos\u201d, dijo Microsoft.<\/p>\n DEV-0147 est\u00e1 lejos de ser la \u00fanica amenaza persistente avanzada (APT) basada en China que aprovecha ShadowPad en los \u00faltimos meses.<\/p>\n En septiembre de 2022, NCC Group desenterrado<\/a> detalles de un ataque dirigido a una organizaci\u00f3n no identificada que abus\u00f3 de una falla cr\u00edtica en WSO2 (CVE-2022-29464<\/a>puntaje CVSS: 9.8) para soltar web shells y activar una cadena de infecci\u00f3n que condujo a la entrega de ShadowPad para la recopilaci\u00f3n de inteligencia.<\/p>\n ShadowPad tambi\u00e9n ha sido empleado<\/a> por actores de amenazas no identificados en un ataque dirigido a un ministerio de relaciones exteriores miembro de la ASEAN a trav\u00e9s del explotaci\u00f3n exitosa<\/a> de un Microsoft Exchange Server vulnerable y conectado a Internet.<\/p>\n Se ha observado que la actividad, denominada REF2924 por Elastic Security Labs, comparte asociaciones t\u00e1cticas con las adoptadas por otros grupos de estados-naci\u00f3n como Winnti (tambi\u00e9n conocido como APT41) y ChamelGang.<\/p>\n “El conjunto de intrusi\u00f3n REF2924 […] representa un grupo de ataque que parece centrado en prioridades que, cuando se observan en todas las campa\u00f1as, se alinean con un inter\u00e9s estrat\u00e9gico nacional patrocinado”, se\u00f1al\u00f3 la empresa.<\/p>\n El hecho de que los grupos de hackers chinos sigan usando ShadowPad a pesar de estar bien documentado a lo largo de los a\u00f1os sugiere que la t\u00e9cnica est\u00e1 teniendo cierto \u00e9xito.<\/p>\n <\/p>\n![\"Shadowpad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/02\/Hackers-chinos-apuntan-a-entidades-diplomaticas-sudamericanas-con-ShadowPad.png\" "\\"ShadowPad\\"\/")
<\/div>\n