Un grupo de ciberespionaje chino irrumpió en el Ministerio de Defensa holandés el año pasado y desplegó malware en los dispositivos comprometidos, según el Servicio de Inteligencia y Seguridad Militar (MIVD) de los Países Bajos.
Sin embargo, a pesar de la copia de seguridad de los sistemas pirateados, los daños de la brecha fueron limitados debido a la segmentación de la red.
"Los efectos de la intrusión fueron limitados porque la red de la víctima estaba segmentada de las redes más amplias del Ministerio de Defensa", declararon el MIVD y el Servicio General de Inteligencia y Seguridad (AIVD) en un informe conjunto.
"La red de la víctima tenía menos de 50 usuarios. Su finalidad era la investigación y el desarrollo (I+D) de proyectos no clasificados y la colaboración con dos institutos de investigación de terceros. Estas organizaciones han sido notificadas del incidente".
El malware RAT sobrevive a las actualizaciones de firmware
Durante la investigación de seguimiento, también se descubrió en la red infectada una cepa de malware desconocida hasta entonces llamada Coathanger, un troyano de acceso remoto (RAT) diseñado para infectar los dispositivos de seguridad de red Fortigate.
"En particular, el implante COATHANGER es persistente, recuperándose después de cada reinicio mediante la inyección de una copia de seguridad de sí mismo en el proceso responsable de reiniciar el sistema. Además, la infección sobrevive a las actualizaciones de firmware", advirtieron las dos agencias holandesas.
"Por lo tanto, incluso los dispositivos FortiGate totalmente parcheados pueden estar infectados, si fueron comprometidos antes de que se aplicara el último parche".
El malware opera de forma sigilosa y persistente, ocultándose mediante la interceptación de llamadas al sistema para evitar revelar su presencia. También persiste a través de reinicios del sistema y actualizaciones de firmware.
Aunque los ataques no se atribuyeron a un grupo de amenazas específico, el MIVD vinculó este incidente con gran seguridad a un grupo de piratas informáticos patrocinado por el Estado chino y añadió que esta actividad maliciosa forma parte de un patrón más amplio de espionaje político chino dirigido contra los Países Bajos y sus aliados.
Ataque a los Firewall FortiGate
Los hackers chinos desplegaron el malware Coathanger con fines de ciberespionaje en los Firewall FortiGate vulnerables que comprometieron explotando la vulnerabilidad CVE-2022-42475 FortiOS SSL-VPN.
CVE-2022-42475 también fue explotada como un zero-day en ataques dirigidos a organizaciones gubernamentales y objetivos relacionados, como Fortinet reveló en enero de 2023.
Estos ataques también comparten muchas similitudes con otra campaña de hacking china que tuvo como objetivo dispositivos SonicWall Secure Mobile Access (SMA) sin parches con malware de ciberespionaje también diseñado para sobrevivir a las actualizaciones de firmware.
Se insta a las organizaciones a que apliquen sin demora los parches de seguridad de los proveedores a todos los dispositivos conectados a Internet (periféricos) en cuanto estén disponibles para evitar intentos de ataque similares.
"Por primera vez, el MIVD ha decidido hacer público un informe técnico sobre los métodos de trabajo de los hackers chinos. Es importante atribuir estas actividades de espionaje por parte de China", declaró la Ministra de Defensa, Kajsa Ollongren.
"De este modo, aumentamos la resistencia internacional contra este tipo de ciberespionaje".
Fuente: bleepingcomputer