La empresa de ciberseguridad SentinelOne ha revelado que un grupo de amenazas con nexo con China, denominado PurpleHaze, realizó intentos de reconocimiento contra su infraestructura y algunos de sus clientes de alto valor.
"Nos dimos cuenta por primera vez de este grupo de amenazas durante una intrusión en 2024 realizada contra una organización que anteriormente brindaba servicios de logística de hardware a los empleados de SentinelOne", dijeron los investigadores de seguridad Tom Hegel, Aleksandar Milenkoski y Jim Walter en un análisis publicado el lunes.
Se evalúa que PurpleHaze es un equipo de piratas informáticos con vínculos débiles con otro grupo patrocinado por el estado conocido como APT15 , que también se rastrea como Flea, Nylon Typhoon (anteriormente Nickel), Playful Taurus, Royal APT y Vixen Panda.
También se ha observado que el colectivo adversario atacó a una entidad anónima que apoyaba al gobierno del sur de Asia en octubre de 2024, empleando una red de caja de retransmisión operativa (ORB) y una puerta trasera de Windows denominada GoReShell.
El implante, escrito en el lenguaje de programación Go, reutiliza una herramienta de código abierto llamada reverse_ssh para configurar conexiones SSH inversas a puntos finales bajo el control del atacante.
"El uso de redes ORB es una tendencia creciente entre estos grupos de amenazas, ya que pueden expandirse rápidamente para crear una infraestructura dinámica y evolutiva que dificulta el seguimiento de las operaciones de ciberespionaje y su atribución", señalaron los investigadores.
Análisis posteriores han determinado que la misma entidad gubernamental del sur de Asia también fue atacada en junio de 2024 por ShadowPad (también conocido como PoisonPlug), una puerta trasera conocida y ampliamente compartida entre grupos de espionaje con vínculos con China. ShadowPad se considera sucesor de otra puerta trasera conocida como PlugX.
Dicho esto, dado que ShadowPad también se ha utilizado como canal para distribuir ransomware en los últimos meses, la motivación exacta del ataque sigue sin estar clara. Se ha descubierto que los artefactos de ShadowPad están ofuscados mediante un compilador a medida llamado ScatterBrain .
Aún se desconoce la naturaleza exacta de la coincidencia entre la actividad de junio de 2024 y los ataques posteriores de PurpleHaze. Sin embargo, se cree que el mismo actor de amenazas podría estar detrás de ellos.
Se estima que ShadowPad, ofuscado por ScatterBrain, se empleó en intrusiones dirigidas a más de 70 organizaciones que abarcaban los sectores de fabricación, gobierno, finanzas, telecomunicaciones e investigación, probablemente después de explotar una vulnerabilidad de N días en los dispositivos de enlace de Check Point.
Una de las víctimas de estos ataques fue la organización que entonces gestionaba la logística de hardware de los empleados de SentinelOne. Sin embargo, la firma de ciberseguridad señaló que no encontró evidencia de una vulneración secundaria.
No se trata solo de China, ya que SentinelOne afirmó que también observó intentos realizados por trabajadores de TI alineados con Corea del Norte para conseguir empleos en la empresa, incluido su equipo de ingeniería de inteligencia SentinelLabs, a través de aproximadamente 360 ??personajes falsos y más de 1.000 solicitudes de empleo.
Por último, pero no por ello menos importante, los operadores de ransomware han atacado SentinelOne y otras plataformas de seguridad empresariales, intentando obtener acceso a sus herramientas para evaluar la capacidad de su software para evadir la detección.
Esto es impulsado por una economía subterránea activa que gira en torno a la compra, venta y alquiler del acceso a dichas ofertas de seguridad empresarial en aplicaciones de mensajería, así como en foros como XSS[.]is, Exploit[.]in y RAMP.
"Han surgido ofertas de servicios completas en torno a este ecosistema, incluido 'EDR Testing-as-a-Service', donde los actores pueden evaluar discretamente el malware frente a diversas plataformas de protección de endpoints", explicaron los investigadores.
Si bien estos servicios de prueba pueden no otorgar acceso directo a consolas o agentes EDR con todas las funciones, sí brindan a los atacantes entornos semiprivados para optimizar las cargas maliciosas sin riesgo de exposición, lo que mejora drásticamente las probabilidades de éxito en ataques reales.
Un grupo de ransomware que lleva esta amenaza a un nivel completamente nuevo es Nitrogen, que se cree está dirigido por un ciudadano ruso. A diferencia de los métodos habituales que implican contactar a personas con información privilegiada o usar credenciales legítimas obtenidas de registros de robo de información, Nitrogen adopta una estrategia diferente suplantando la identidad de empresas reales.
Esto se logra configurando dominios similares, direcciones de correo electrónico falsificadas e infraestructura clonada que imitan a empresas legítimas, lo que permite al actor de amenazas comprar licencias oficiales para EDR y otros productos de seguridad.
"Este tipo de ingeniería social se ejecuta con precisión", afirmaron los investigadores. "Nitrogen suele dirigirse a revendedores pequeños y poco verificados, minimizando las interacciones y apoyándose en las prácticas inconsistentes de KYC (Conozca a su Cliente) de los revendedores para pasar desapercibidos".
Fuente: Thehackernews.