Un gobierno an\u00f3nimo del Sudeste Asi\u00e1tico ha sido atacado por m\u00faltiples actores de amenazas del nexo con China como parte de campa\u00f1as de espionaje dirigidas a la regi\u00f3n durante largos per\u00edodos de tiempo.<\/p>\n
“Si bien esta actividad ocurri\u00f3 aproximadamente al mismo tiempo y en algunos casos incluso simult\u00e1neamente en las mismas m\u00e1quinas de las v\u00edctimas, cada grupo se caracteriza por herramientas, modus operandi e infraestructura distintos”, dijeron los investigadores de la Unidad 42 de Palo Alto Networks, Lior Rochberger, Tom Fakterman y Robert. falcone dicho<\/a> en un informe exhaustivo de tres partes.<\/p>\n Los ataques, que tuvieron como objetivo diferentes entidades gubernamentales, como infraestructura cr\u00edtica, instituciones de salud p\u00fablica, administradores de finanzas p\u00fablicas y ministerios, se han atribuido con confianza moderada a tres grupos dispares rastreados como Stately Taurus (tambi\u00e9n conocido como Mustang Panda), Alloy Taurus (tambi\u00e9n conocido como Granite Typhoon) y Gelsemium.<\/p>\n “Los atacantes llevaron a cabo una operaci\u00f3n de ciberespionaje que se centr\u00f3 en recopilar inteligencia y robar documentos e informaci\u00f3n confidenciales, mientras manten\u00edan un punto de apoyo persistente y clandestino”, dijeron los investigadores. dicho<\/a>describi\u00e9ndolo como “altamente dirigido a objetivos e impulsado por inteligencia”.<\/p>\n La actividad se extendi\u00f3 desde el segundo trimestre de 2021 hasta el tercer trimestre de 2023, aprovechando una variedad de herramientas para realizar reconocimientos, robar credenciales, mantener el acceso y realizar acciones posteriores al compromiso.<\/p>\n Algunos de los software notables utilizados para alcanzar estos objetivos incluyen el marco de escaneo de c\u00f3digo abierto LadonGo, B\u00fasqueda de anuncios<\/a>, Mimikatz<\/a>, Paquete<\/a>, helic\u00f3ptero chino<\/a> web shells, Cobalt Strike, ShadowPad y una nueva versi\u00f3n de la puerta trasera TONESHELL.<\/p>\n El malware evita el uso de shellcode en favor de tres componentes basados \u200b\u200ben DLL para configurar la persistencia en el punto final, establecer comunicaciones de comando y control con un servidor remoto y llevar a cabo operaciones de recopilaci\u00f3n de informaci\u00f3n, incluida la ejecuci\u00f3n de comandos y la interacci\u00f3n del sistema de archivos. , registro de teclas y captura de pantalla.<\/p>\n “Durante la operaci\u00f3n, el actor de amenazas tom\u00f3 lentamente el control de los entornos de las v\u00edctimas, centr\u00e1ndose en mantener el control para una operaci\u00f3n a largo plazo”, se\u00f1alaron los investigadores. “El prop\u00f3sito de los esfuerzos del actor de amenazas parece ser la recopilaci\u00f3n y exfiltraci\u00f3n continua de documentos e inteligencia confidenciales”.<\/p>\n Se dice que el conjunto de intrusiones vinculado a Alloy Taurus comenz\u00f3 a principios de 2022 y continu\u00f3 durante todo 2023, aprovechando t\u00e9cnicas poco comunes y eludiendo productos de seguridad para lograr persistencia y reconocimiento a largo plazo.<\/p>\n Estos ataques, que se producen en seis oleadas diferentes, utilizan las fallas de seguridad en los servidores Microsoft Exchange como arma para implementar shells web, que luego sirven como conducto para entregar cargas \u00fatiles adicionales, contando dos puertas traseras .NET previamente desconocidas, Zapoa y ReShell, para ejecutar comandos arbitrarios de forma remota y recolectar datos confidenciales. datos.<\/p>\n Zapoa tambi\u00e9n incorpora funciones para extraer informaci\u00f3n del sistema, ejecutar shellcode, enumerar procesos en ejecuci\u00f3n, cargar m\u00e1s archivos ensamblados .NET para aumentar sus capacidades y marcar archivos y artefactos con una fecha proporcionada, una t\u00e9cnica llamada pisotear el tiempo<\/a>.<\/p>\n “El actor de amenazas detr\u00e1s de este cl\u00faster emple\u00f3 un enfoque maduro, utilizando intrusiones de m\u00faltiples ondas y explotando vulnerabilidades en los servidores Exchange como su principal vector de penetraci\u00f3n”, afirman los investigadores. dicho<\/a>.<\/p>\n En algunos casos, tambi\u00e9n se ha observado que Alloy Taurus lleva a cabo el robo de credenciales para facilitar el movimiento lateral abusando de la herramienta de administraci\u00f3n remota AnyDesk ya presente en el entorno infiltrado. <\/p>\n IA versus IA: aprovechar las defensas de la IA contra los riesgos impulsados \u200b\u200bpor la IA<\/p>\n <\/a><\/p>\n \u00bfListo para afrontar nuevos desaf\u00edos de ciberseguridad impulsados \u200b\u200bpor la IA? \u00danase a nuestro interesante seminario web con Zscaler para abordar la creciente amenaza de la IA generativa en la ciberseguridad.<\/p>\n Potencia tus habilidades<\/a><\/section>\n Algunos de los otros programas instalados por el actor de amenazas incluyen Cobalt Strike, Quasar RAT, HDoor (una puerta trasera utilizada anteriormente por grupos chinos como Naikon<\/a> y Goblin Panda), una variante de Gh0st RAT conocida como Gh0stCringe<\/a>y winnti<\/a>un implante multifuncional capaz de otorgar control remoto a una m\u00e1quina infectada.<\/p>\n “Este grupo \u00fanico tuvo actividad durante m\u00e1s de seis meses entre 2022 y 2023”, dijeron los investigadores. anotado<\/a>.<\/p>\n “Presentaba una combinaci\u00f3n de herramientas y t\u00e9cnicas poco comunes que el actor de amenazas aprovech\u00f3 para ganar un punto de apoyo clandestino y recopilar inteligencia de servidores IIS sensibles que pertenecen a una entidad gubernamental en el sudeste asi\u00e1tico”.<\/p>\n Las cadenas de ataque aprovechan los servidores web vulnerables para instalar shells web y distribuir puertas traseras como OwlProxy y SessionManager, mientras utilizan simult\u00e1neamente otras herramientas como Cobalt Strike, medidorpreter<\/a>, Lombriz<\/a>y carretetonto<\/a> para post-explotaci\u00f3n, t\u00faneles de tr\u00e1fico de comando y control y escalada de privilegios.<\/p>\n OwlProxy es un proxy HTTP con funcionalidad de puerta trasera que sali\u00f3 a la luz por primera vez<\/a> en abril de 2020. SessionManager, detallado por Kaspersky en julio pasado, es una puerta trasera personalizada dise\u00f1ada para analizar el Campo de cookies<\/a> dentro de las solicitudes HTTP entrantes para extraer los comandos emitidos por el atacante.<\/p>\n “El actor de la amenaza recibi\u00f3 acceso mediante el uso de varios shells web, luego del intento de instalaci\u00f3n de m\u00faltiples tipos de malware proxy y una puerta trasera IIS”, dijeron los investigadores. “Como algunos de los intentos del actor de amenazas de instalar malware no tuvieron \u00e9xito, siguieron entregando nuevas herramientas, mostrando su capacidad para adaptarse al proceso de mitigaci\u00f3n”.<\/p>\n <\/p>\nMustang Panda usa la variante TONESHELL y ShadowPad<\/h2>\n
![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/Un-nuevo-informe-descubre-tres-grupos-distintos-de-ataques-entre.png\")
<\/a><\/center><\/section>\n![\"Variante](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/1695635445_644_Un-nuevo-informe-descubre-tres-grupos-distintos-de-ataques-entre.jpg\" "\\"Variante")
<\/div>\nAlloy Taurus pretende pasar desapercibido<\/h2>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/1695635445_346_Un-nuevo-informe-descubre-tres-grupos-distintos-de-ataques-entre.jpg\")
<\/div>\nGelsemium destaca los servidores IIS vulnerables<\/h2>\n