Los investigadores de ciberseguridad advierten sobre un nuevo malware llamado DslogdRAT que se instala tras la explotación de una falla de seguridad ahora parcheada en Ivanti Connect Secure (ICS).
El malware, junto con un shell web, se "instaló explotando una vulnerabilidad de día cero en ese momento, CVE-2025-0282, durante ataques contra organizaciones en Japón alrededor de diciembre de 2024", dijo el investigador de JPCERT/CC Yuma Masubuchi en un informe publicado el jueves.
CVE-2025-0282 se refiere a una falla crítica de seguridad en ICS que podría permitir la ejecución remota de código no autenticado. Ivanti la solucionó a principios de enero de 2025.
Sin embargo, esta deficiencia ha sido explotada como un ataque de día cero por un grupo de ciberespionaje con vínculos con China, denominado UNC5337, para distribuir el ecosistema de malware SPAWN, así como otras herramientas como DRYHOOK y PHASEJAM. La distribución de estas dos últimas cepas de malware no se ha atribuido a ningún actor de amenazas conocido.
Desde entonces, tanto JPCERT/CC como la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) han revelado la explotación de la misma vulnerabilidad para distribuir versiones actualizadas de SPAWN llamadas SPAWNCHIMERA y RESURGE .
A principios de este mes, Mandiant, propiedad de Google, también reveló que otra falla de seguridad en ICS (CVE-2025-22457) se ha utilizado para distribuir SPAWN, un malware atribuido a otro grupo de piratas informáticos chino conocido como UNC5221.
JPCERT/CC dijo que actualmente no está claro si los ataques que utilizan DslogdRAT son parte de la misma campaña que involucra a la familia de malware SPAWN operada por UNC5221.
La secuencia de ataque descrita por la agencia implica la explotación de CVE-2025-0282 para implementar un shell web Perl, que luego sirve como conducto para implementar cargas útiles adicionales, incluido DslogdRAT.
DslogdRAT, por su parte, inicia contacto con un servidor externo a través de una conexión de socket para enviar información básica del sistema y espera más instrucciones que le permitan ejecutar comandos de shell, cargar/descargar archivos y utilizar el host infectado como proxy.
La revelación se produce cuando la empresa de inteligencia de amenazas GreyNoise advirtió sobre un "aumento de 9 veces en la actividad de escaneo sospechosa" dirigida a dispositivos ICS e Ivanti Pulse Secure (IPS) desde más de 270 direcciones IP únicas en las últimas 24 horas y más de 1000 direcciones IP únicas en los últimos 90 días.
De estas, 255 direcciones IP se clasificaron como maliciosas y 643 como sospechosas. Se observó que las IP maliciosas utilizaban nodos de salida de TOR, mientras que las IP sospechosas estaban vinculadas a proveedores de alojamiento menos conocidos. Estados Unidos, Alemania y los Países Bajos son los tres principales países de origen.
"Este aumento repentino podría indicar un reconocimiento coordinado y una posible preparación para una futura explotación", declaró la compañía. "Si bien aún no se han vinculado CVE específicos a esta actividad de escaneo, picos como este suelen preceder a la explotación activa".
Fuente: TheHackerNews.