Un grupo de amenazas persistentes avanzadas (APT), respaldado por China, denominado Flax Typhoon, ha instalado una red de infecciones persistentes dentro de docenas de organizaciones taiwanesas. El objetivo probable es llevar a cabo una extensa campaña de ciberespionaje utilizando solo cantidades mínimas de malware.
Operación sigilosa y persistente
Según Microsoft, el grupo utiliza herramientas como LOLBas y utilidades legítimas integradas en el sistema operativo Windows para llevar a cabo una operación extremadamente sigilosa y persistente. La mayoría de las víctimas se concentran en Taiwán, aunque empresas fuera de la isla deben estar alerta.
La campaña está utilizando técnicas que podrían reutilizarse fácilmente en otras operaciones fuera de la región. En el pasado, amenazas del Estado-Nación han dirigido sus ataques a una amplia gama de industrias, incluidas agencias gubernamentales y educación, manufactura crítica y tecnología de la información, en todo el sudeste asiático, así como en América del Norte y África.
Metodología de infección
La rutina de infección observada por Microsoft incluye los siguientes pasos:
- Acceso inicial: Se logra explotando vulnerabilidades conocidas en aplicaciones VPN, web, Java y SQL para implementar el webshell China Chopper, que permite la ejecución remota de código en el servidor comprometido.
- Escalamiento de privilegios: Si es necesario, se utiliza Juicy Potato, BadPotato y otras herramientas de código abierto para explotar las vulnerabilidades de escalada de privilegios locales.
- Establecimiento de acceso remoto: Se utiliza la línea de comandos del Instrumental de administración de Windows (WMIC) o PowerShell, o la Terminal de Windows con privilegios de administrador local, para deshabilitar la autenticación a nivel de red (NLA) para el Protocolo de escritorio remoto (RDP). Esto permite acceder a la pantalla de inicio de sesión de Windows sin autenticarse y usar la función de accesibilidad Sticky Keys en Windows para iniciar el Administrador de tareas con privilegios del sistema local. Luego, se instala un puente VPN legítimo para conectarse automáticamente a la infraestructura de red controlada por el actor.
- Persistencia: Se utiliza el Administrador de control de servicios (SCM) para crear un servicio de Windows que inicia la conexión VPN automáticamente cuando se inicia el sistema, lo que permite al actor monitorear la disponibilidad del sistema comprometido y establecer una conexión RDP.
- Movimiento lateral: Para acceder a otros sistemas en la red comprometida, el actor utiliza otros LOLBins, incluida la administración remota de Windows (WinRM) y WMIC, para realizar escaneos de redes y vulnerabilidades.
- Acceso a credenciales: Se implementa con frecuencia Mimikatz para volcar automáticamente contraseñas hash para los usuarios que iniciaron sesión en el sistema local. Los hash de contraseña resultantes se pueden descifrar fuera de línea o usarse en ataques Pass-the-Hash (PtH) para acceder a otros recursos en la red comprometida.
Curiosamente, la APT parece estar esperando el momento oportuno cuando se trata de ejecutar un final, aunque el objetivo probable es la filtración de datos. Microsoft señala que este patrón de actividad es inusual porque ocurre una actividad mínima después de que el actor establece persistencia. Las actividades de descubrimiento y acceso a credenciales no parecen permitir mayores objetivos de recopilación y exfiltración de datos.
Protección contra el compromiso
Microsoft ofrece una serie de pasos a seguir si las organizaciones se ven comprometidas. Para evitar la situación por completo, las organizaciones deben asegurarse de que todos los servidores públicos estén parcheados y actualizados, y que tengan monitoreo y seguridad adicionales, como validación de entradas de usuarios, monitoreo de integridad de archivos, monitoreo de comportamiento y firewalls de aplicaciones web.
Los administradores también pueden monitorear el registro de Windows en busca de cambios no autorizados; monitorear cualquier tráfico RDP que pueda considerarse no autorizado; y reforzar la seguridad de la cuenta con autenticación multifactor y otras precauciones.