Un grupo de amenazas avanzadas (APT) vinculado a China, denominado «TheWizards», está utilizando una función del protocolo IPv6 para realizar ataques de tipo «Adversario en el Medio» (AitM), con el objetivo de interceptar actualizaciones de software y instalar malware en sistemas Windows.
Uso de la herramienta Spellbinder
El grupo emplea una herramienta personalizada denominada «Spellbinder», identificada por ESET, que abusa de la función Stateless Address Autoconfiguration (SLAAC) de IPv6. Esta característica permite a los dispositivos configurar automáticamente sus direcciones IP y puerta de enlace sin necesidad de un servidor DHCP, utilizando mensajes de anuncio de enrutador (RA).
Spellbinder envía mensajes RA falsos a través de la red, lo que hace que los sistemas cercanos reciban una nueva dirección IPv6, nuevos servidores DNS y una puerta de enlace preferida. Esta última es la dirección IP del atacante, permitiéndole interceptar el tráfico y redirigirlo hacia servidores controlados por él.
Actividad desde 2022
Según ESET, «TheWizards» ha estado activo al menos desde 2022. Sus ataques han afectado a entidades en Filipinas, Camboya, Emiratos Árabes Unidos, China y Hong Kong. Entre las víctimas se incluyen particulares, empresas de juegos de azar y otras organizaciones.
Implementación del malware
Los ataques implementan Spellbinder mediante un archivo comprimido llamado «AVGApplicationFrameHostS.zip», que se extrae en un directorio que imita software legítimo: «%PROGRAMFILES\\AVG Technologies».
En este directorio se encuentran archivos como «AVGApplicationFrameHost.exe», «wsc.dll», «log.dat» y una copia legítima de «winpcap.exe». El ejecutable WinPcap se utiliza para instalar el archivo «wsc.dll» malicioso, que carga Spellbinder en la memoria.
Intercepción del tráfico
Una vez infectado un dispositivo, Spellbinder comienza a capturar y analizar el tráfico de red que intenta conectarse a dominios específicos, como los relacionados con servidores de actualización de software chinos.
Vigilancia de dominios
ESET afirma que el malware monitoriza los dominios de las siguientes empresas: Tencent, Baidu, Xunlei, Youku, iQIYI, Kingsoft, Mango TV, Funshion, Yuodao, Xiaomi, Xiaomi Miui, PPLive, Meitu, Quihoo 360 y Baofeng.
Instalación de malware
La herramienta redirige esas solicitudes para descargar e instalar actualizaciones maliciosas que implementan una puerta trasera llamada «WizardNet». Esta puerta trasera proporciona a los atacantes acceso persistente al dispositivo infectado y les permite instalar malware adicional según sea necesario.
Recomendaciones de seguridad
Para protegerse contra este tipo de ataques, las organizaciones pueden supervisar el tráfico IPv6 o desactivar el protocolo si no es necesario en su entorno.