Un equipo de pirater\u00eda patrocinado por el estado chino ha resurgido con una nueva campa\u00f1a dirigida a entidades gubernamentales, de salud, tecnolog\u00eda y fabricaci\u00f3n con sede en Taiw\u00e1n, Tailandia, Filipinas y Fiji despu\u00e9s de m\u00e1s de seis meses sin actividad.<\/p>\n
Tendencia Micro atribuido<\/a> la intrusi\u00f3n establecida en un grupo de ciberespionaje que rastrea bajo el nombre Tierra Longzhi<\/strong>que es un subgrupo dentro de APT41 (tambi\u00e9n conocido como HOODOO o Winnti) y comparte superposiciones con varios otros cl\u00fasteres conocidos como Earth Baku, SparklingGoblin y GroupCC.<\/p>\n Earth Longzhi fue documentado por primera vez por la firma de ciberseguridad en noviembre de 2022, detallando sus ataques contra varias organizaciones ubicadas en el este y sureste de Asia, as\u00ed como en Ucrania.<\/p>\n Las cadenas de ataque montadas por el actor de amenazas aprovechan las aplicaciones p\u00fablicas vulnerables como puntos de entrada para implementar el shell web BEHINDER y luego aprovechan ese acceso para soltar cargas \u00fatiles adicionales, incluida una nueva variante de un cargador Cobalt Strike llamado CroxLoader.<\/p>\n “Esta reciente campa\u00f1a […] abusa de un ejecutable de Windows Defender para realizar la carga lateral de DLL al mismo tiempo que explota un controlador vulnerable, zamguard.sys, para deshabilitar los productos de seguridad instalados en los hosts a trav\u00e9s de un ataque BYOVD (traiga su propio controlador vulnerable), dijo Trend Micro.<\/p>\n De ninguna manera es la primera vez que Earth Longzhi aprovecha la t\u00e9cnica BYOVD, ya que las campa\u00f1as anteriores utilizaron el controlador RTCore64.sys vulnerable para restringir la ejecuci\u00f3n de productos de seguridad.<\/p>\n El malware, denominado SPHijacker, tambi\u00e9n emplea un segundo m\u00e9todo denominado “retumbo de pila” para lograr el mismo objetivo, que implica realizar cambios en el registro de Windows para interrumpir el flujo de ejecuci\u00f3n del proceso y provocar deliberadamente que las aplicaciones de destino se bloqueen al iniciarse.<\/p>\n “Esta t\u00e9cnica es un tipo de [denial-of-service] ataque que abusa de los valores de MinimumStackCommitInBytes no documentados en el [Image File Execution Options<\/a>] clave de registro”, explic\u00f3 Trend Micro.<\/p>\n “El valor de MinimalStackCommitInBytes asociado con un proceso espec\u00edfico en la clave de registro de IFEO se usar\u00e1 para definir el tama\u00f1o m\u00ednimo de la pila para confirmar al inicializar el subproceso principal. Si el tama\u00f1o de la pila es demasiado grande, activar\u00e1 una excepci\u00f3n de desbordamiento de la pila y terminar\u00e1 el proceso actual”.<\/p>\n Los enfoques gemelos est\u00e1n lejos de ser los \u00fanicos m\u00e9todos que se pueden utilizar para perjudicar los productos de seguridad. Deep Instinct, el mes pasado, detall\u00f3 una nueva t\u00e9cnica de inyecci\u00f3n de c\u00f3digo bautizada vanidad sucia<\/a> que explota el mecanismo de bifurcaci\u00f3n remota en Windows para sistemas de detecci\u00f3n de puntos finales ciegos.<\/p>\n Adem\u00e1s, la carga \u00fatil del controlador se instala como un servicio de nivel de kernel mediante la llamada de procedimiento remoto de Microsoft (RPC<\/a>) a diferencia de las API de Windows para evadir la detecci\u00f3n.<\/p>\n Aprenda a detener el ransomware con protecci\u00f3n en tiempo real<\/p>\n \u00danase a nuestro seminario web y aprenda c\u00f3mo detener los ataques de ransomware en seco con MFA en tiempo real y protecci\u00f3n de cuenta de servicio.<\/p>\n Guardar mi asiento!<\/a><\/div>\n Tambi\u00e9n se observa en los ataques el uso de un cuentagotas basado en DLL llamado Roxwrapper para entregar otro cargador Cobalt Strike etiquetado como BigpipeLoader, as\u00ed como una herramienta de escalada de privilegios (dwm.exe) que abusa de Windows. Programador de tareas<\/a> para lanzar una carga \u00fatil determinada con privilegios de SISTEMA.<\/p>\n La carga \u00fatil especificada, dllhost.exe, es un programa de descarga capaz de recuperar malware de pr\u00f3xima etapa de un servidor controlado por un actor.<\/p>\n Vale la pena se\u00f1alar aqu\u00ed que dwm.exe se basa en una prueba de concepto (PoC) de c\u00f3digo abierto disponible en GitHub<\/a>lo que sugiere que el actor de amenazas se est\u00e1 inspirando en los programas existentes para perfeccionar su arsenal de malware.<\/p>\n Trend Micro dijo adem\u00e1s que identific\u00f3 documentos se\u00f1uelo escritos en vietnamita e indonesio, lo que indica posibles intentos de dirigirse a usuarios en los dos pa\u00edses en el futuro.<\/p>\n “Earth Longzhi permanece activo y contin\u00faa mejorando sus t\u00e1cticas, t\u00e9cnicas y procedimientos (TTP)”, se\u00f1alaron los investigadores de seguridad Ted Lee y Hara Hiroaki. “Las organizaciones deben mantenerse alerta contra el desarrollo continuo de nuevos esquemas sigilosos por parte de los ciberdelincuentes”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/1682966412_237_APT28-apunta-a-entidades-gubernamentales-ucranianas-con-falsificaciones-quotactualizacion-de.png\")
<\/a><\/center><\/div>\n![\"Grupo](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/1683140663_89_El-grupo-chino-de-piratas-informaticos-Earth-Longzhi-resurge-con.png\" "\\"Grupo")
<\/div>\n