Un actor de amenazas llamado Redfly ha sido vinculado a un compromiso de una red nacional ubicada en un país asiático sin nombre durante nada menos que seis meses a principios de este año utilizando un conocido malware denominado ShadowPad.
"Los atacantes lograron robar credenciales y comprometer múltiples ordenadores de la red de la organización", dijo el equipo Symantec Threat Hunter, parte de Broadcom, en un informe compartido con The Hacker News. "El ataque es el último de una serie de intrusiones de espionaje contra objetivos [de infraestructuras nacionales críticas]".
ShadowPad, también conocido como PoisonPlug, es la continuación del troyano de acceso remoto PlugX y es un implante modular capaz de cargar plugins adicionales de forma dinámica desde un servidor remoto según sea necesario para recopilar datos confidenciales de redes infectadas.
Ha sido ampliamente utilizado por una creciente lista de grupos de estados-nación vinculados a China desde al menos 2019 en ataques dirigidos a organizaciones en varios verticales de la industria.
"ShadowPad se descifra en memoria utilizando un algoritmo de descifrado personalizado", señaló la Unidad de Contraamenazas (CTU) de Secureworks en febrero de 2022. "ShadowPad extrae información sobre el host, ejecuta comandos, interactúa con el sistema de archivos y el registro, y despliega nuevos módulos para ampliar la funcionalidad".
El primer indicio de un ataque dirigido a la entidad asiática se habría registrado el 23 de febrero de 2023, cuando se ejecutó ShadowPad en un único ordenador, al que siguió la ejecución de la puerta trasera tres meses después, el 17 de mayo.
También se desplegó por la misma época una herramienta llamada Packerloader que se utiliza para ejecutar shellcode arbitrario, usándolo para modificar los permisos de un archivo de controlador conocido como dump_diskfs.sys para conceder acceso a todos los usuarios, lo que plantea la posibilidad de que el controlador pueda haber sido utilizado para crear volcados del sistema de archivos para su posterior exfiltración.
Además, se ha observado a los autores de la amenaza ejecutando comandos PowerShell para recopilar información sobre los dispositivos de almacenamiento conectados al sistema, volcar credenciales del Registro de Windows y, al mismo tiempo, borrar los registros de eventos de seguridad de la máquina.
"El 29 de mayo, los atacantes volvieron y utilizaron una versión renombrada de ProcDump (nombre de archivo: alg.exe) para volcar credenciales de LSASS", dijo Symantec. "El 31 de mayo, se utiliza una tarea programada para ejecutar oleview.exe, probablemente para realizar carga lateral y movimiento lateral".
Se sospecha que Redfly utilizó credenciales robadas para propagar la infección a otras máquinas de la red. Tras un paréntesis de casi dos meses, el adversario reapareció en escena para instalar un keylogger el 27 de julio y volver a extraer credenciales de LSASS y del Registro el 3 de agosto.
Según Symantec, la campaña comparte infraestructura y herramientas con la actividad previamente identificada atribuida al grupo patrocinado por el estado chino denominado APT41 (alias Winnti), y Redly se centra casi exclusivamente en atacar entidades de infraestructuras críticas.
Sin embargo, hasta la fecha no hay pruebas de que el grupo de hackers haya llevado a cabo ningún ataque perturbador.
"Los actores de amenazas que mantienen una presencia persistente a largo plazo en una red nacional presentan un claro riesgo de ataques diseñados para interrumpir el suministro de energía y otros servicios vitales en otros estados en momentos de mayor tensión política", dijo la compañía.
Este hecho se produce cuando Microsoft ha revelado que actores afiliados a China están perfeccionando los medios visuales generados por IA para utilizarlos en operaciones de influencia dirigidas a Estados Unidos, así como "llevando a cabo la recopilación de inteligencia y la ejecución de malware contra gobiernos e industrias regionales" en la región del Mar de China Meridional desde principios de año.
"Raspberry Typhoon [antes Radium] apunta constantemente a ministerios gubernamentales, entidades militares y entidades corporativas conectadas a infraestructuras críticas, particularmente telecomunicaciones", dijo el gigante tecnológico. "Desde enero de 2023, Raspberry Typhoon ha sido particularmente persistente".
Otros objetivos incluyen la base industrial de defensa de Estados Unidos (Circle Typhoon / DEV-0322, Mulberry Typhoon / Manganese y Volt Typhoon / DEV-0391), la infraestructura crítica de Estados Unidos, entidades gubernamentales en Europa y Estados Unidos (Storm-0558) y Taiwán (Charcoal Typhoon / Chromium y Flax Typhoon / Storm-0919).
También sigue a un informe del Atlantic Council según el cual una ley china que obliga a las empresas que operan en el país a revelar los fallos de seguridad de sus productos al Ministerio de Industria y Tecnología de la Información (MIIT) permite al país almacenar las vulnerabilidades y ayudar a los hackers estatales a "aumentar el ritmo, el éxito y el alcance de sus operaciones."
Fuente: thehackernews