Un grupo de actividades de amenazas previamente desconocido apuntó a organizaciones europeas, particularmente aquellas del sector de la salud, para implementar PlugX y su sucesor, ShadowPad; las intrusiones finalmente llevaron a la implementación de un ransomware llamado NailaoLocker en algunos casos.
La campaña, cuyo nombre en código es Green Nailao y que fue desarrollada por Orange Cyberdefense CERT, implicó la explotación de una falla de seguridad recientemente parcheada en los productos de seguridad de la puerta de enlace de red de Check Point ( CVE-2024-24919 , puntuación CVSS: 7,5). Los ataques se observaron entre junio y octubre de 2024.
"La campaña se basó en el secuestro del orden de búsqueda de DLL para implementar ShadowPad y PlugX, dos implantes a menudo asociados con intrusiones dirigidas al nexo con China", dijo la compañía en un informe técnico compartido con The Hacker News.
Se dice que el acceso inicial proporcionado mediante la explotación de instancias vulnerables de Check Point permitió a los actores de la amenaza recuperar las credenciales del usuario y conectarse a la VPN utilizando una cuenta legítima.
En la siguiente etapa, los atacantes realizaron un reconocimiento de red y un movimiento lateral a través del protocolo de escritorio remoto (RDP) para obtener privilegios elevados, seguido de la ejecución de un binario legítimo ("logger.exe") para cargar lateralmente una DLL falsa ("logexts.dll") que luego sirve como cargador para una nueva versión del malware ShadowPad .
Se ha descubierto que iteraciones anteriores de los ataques detectados en agosto de 2024 aprovechan una técnica similar para distribuir PlugX , que también emplea la carga lateral de DLL mediante un ejecutable de McAfee ("mcoemcpy.exe") para cargar lateralmente "McUtil.dll".
Al igual que PlugX, ShadowPad es un malware de venta privada que es utilizado exclusivamente por actores de espionaje chinos desde al menos 2015. La variante identificada por Orange Cyberdefense CERT presenta sofisticadas medidas de ofuscación y antidepuración, además de establecer comunicación con un servidor remoto para crear acceso remoto persistente a los sistemas de las víctimas.
Existen pruebas que sugieren que los actores de la amenaza intentaron exfiltrar datos accediendo al sistema de archivos y creando archivos ZIP. Las intrusiones culminaron con el uso de Windows Management Instrumentation (WMI) para transmitir tres archivos, un ejecutable legítimo firmado por Beijing Huorong Network Technology Co., Ltd ("usysdiag.exe"), un cargador llamado NailaoLoader ("sensapi.dll") y NailaoLocker ("usysdiag.exe.dat").
Una vez más, el archivo DLL se carga a través de "usysdiag.exe" para descifrar y activar la ejecución de NailaoLocker, un ransomware basado en C++ que cifra archivos, les agrega una extensión ".locked" y deja una nota de rescate que exige a las víctimas que realicen un pago en bitcoins o los contacten a una dirección de Proton Mail.
"NailaoLocker es relativamente poco sofisticado y está mal diseñado; aparentemente no está pensado para garantizar un cifrado completo", dijeron los investigadores Marine Pichon y Alexis Bonnefoi.
"No escanea recursos compartidos de red, no detiene servicios o procesos que podrían impedir el cifrado de ciertos archivos importantes y no controla si se está depurando".
Orange ha atribuido la actividad con un nivel de confianza medio a un actor de amenazas alineado con China debido al uso del implante ShadowPad, el uso de técnicas de carga lateral de DLL y el hecho de que esquemas de ransomware similares se han atribuido a otro grupo de amenazas chino denominado Bronze Starlight .
Es más, el uso de "usysdiag.exe" para cargar de forma lateral cargas útiles de la siguiente etapa se ha observado anteriormente en ataques montados por un conjunto de intrusiones vinculado a China rastreado por Sophos bajo el nombre Cluster Alpha (también conocido como STAC1248).
Si bien no están claros los objetivos exactos de la campaña de espionaje y ransomware, se sospecha que los actores de la amenaza buscan obtener ganancias rápidas de manera paralela.
"Esto podría ayudar a explicar el contraste de sofisticación entre ShadowPad y NailaoLocker, ya que NailaoLocker a veces incluso intenta imitar las técnicas de carga de ShadowPad", dijeron los investigadores. "Si bien estas campañas a veces se pueden realizar de manera oportunista, a menudo permiten a los grupos de amenazas obtener acceso a sistemas de información que pueden usarse más tarde para realizar otras operaciones ofensivas".
Fuente: TheHackerNews.