Un gobierno no identificado del sudeste asiático fue blanco de ciberataques orquestados por múltiples actores de amenazas vinculados al grupo China-Nexus. La actividad maliciosa tuvo lugar entre el segundo trimestre de 2021 y el tercer trimestre de 2023.
Objetivos y alcance de los ataques
Los ataques fueron dirigidos a entidades gubernamentales, incluyendo infraestructura crítica, instituciones de salud pública, administradores financieros públicos y ministerios. Los ataques se atribuyen con moderada confianza a tres grupos: Stately Taurus (Mustang Panda), Alloy Taurus (Granite Typhoon) y Gelsemium.
Herramientas y técnicas empleadas
Las herramientas utilizadas incluyeron LadonGo, Mimikatz, Impacket, China Chopper web shells, Cobalt Strike, ShadowPad y una nueva versión de la backdoor de TONESHELL. El malware evitó el uso de shellcode en favor de tres componentes basados en DLL para establecer persistencia, comunicaciones C2 y operaciones de recopilación de información.
Ataques específicos y vulnerabilidades explotadas
Alloy Taurus utilizó vulnerabilidades en servidores Microsoft Exchange para implementar web shells, permitiendo la entrega de payloads adicionales y ejecución remota de comandos. Introdujeron dos backdoors .NET previamente desconocidas llamadas Zapoa y ReShell.
Zapoa incorpora características para extraer información del sistema, ejecutar shellcodes, enumerar procesos en ejecución, cargar archivos de ensamblaje .NET adicionales y marcar archivos con una fecha proporcionada (timestomping). Alloy Taurus utilizó herramientas como Cobalt Strike, Quasar RAT, HDoor, Gh0stCringe y Winnti para robar credenciales y facilitar el movimiento lateral.
Metodología de los ataques
Las cadenas de ataque capitalizaron servidores web vulnerables para instalar web shells y distribuir backdoors como OwlProxy y SessionManager. OwlProxy es un proxy HTTP con funcionalidad de backdoor que se dio a conocer en abril de 2020.
SessionManager, detallado por Kaspersky en julio pasado, es una backdoor personalizada diseñada para analizar el campo Cookie dentro de las solicitudes HTTP entrantes para extraer comandos emitidos por el atacante.
Riesgos identificados
Los ataques se destacan por su alto grado de sofisticación y enfoque en la recopilación de inteligencia y extracción de documentos e información sensible. Los riesgos incluyen la recopilación de inteligencia y extracción de documentos e información sensible, así como el acceso a infraestructura crítica, instituciones de salud pública, administradores financieros públicos y ministerios.
Respuestas y mitigaciones
El actor de amenazas continuó entregando nuevas herramientas tras intentos fallidos de instalar malware, mostrando su capacidad de adaptación al proceso de mitigación.