El malware HiatusRAT, descubierto por primera vez en marzo de 2023, ha retomado su actividad tras un periodo de inactividad. Los responsables del malware han dirigido nuevamente sus ataques a organizaciones ubicadas en Taiwán y al sistema de adquisición militar estadounidense.
Objetivos y alcance de la nueva campaña
La nueva ola de ataques se caracteriza por la recopilación de muestras del malware para diversas arquitecturas, incluyendo Arm, Intel 80386, x86-64, MIPS, MIPS64 e i386. Los ataques actuales incluyen a entidades comerciales, fabricantes de semiconductores y productos químicos.
Además, se ha detectado actividad dirigida hacia una entidad gubernamental municipal en Taiwán y hacia un servidor del Departamento de Defensa de los Estados Unidos (DoD) vinculado al proceso de presentación y adjudicación de contratos militares.
Infraestructura y técnicas empleadas
Los atacantes han utilizado servidores virtuales privados (VPS) recientemente establecidos. La infraestructura del malware se compone de servidores de reconocimiento y servidores de carga útil que se comunican directamente con las redes de las víctimas.
Durante el 13 de junio, los atacantes emplearon dos direcciones IP diferentes, 207.246.80[.]240 y 45.63.70[.]57, para acceder al servidor del Departamento de Defensa estadounidense durante un período de aproximadamente dos horas. Se estima que se transfirieron 11 MB de datos en ambas direcciones durante este intervalo.
Posibles objetivos y riesgos
Existe la sospecha de que los atacantes podrían haber estado buscando información de acceso público relacionada con contratos militares actuales y futuros. El enfoque en los dispositivos perimetrales, como los enrutadores, ha emergido como un patrón recurrente en los últimos meses.
Actores de amenazas vinculados a China han sido asociados con la explotación de vulnerabilidades en dispositivos Fortinet y SonicWall sin parchear. Los ataques más recientes abarcan desde mediados de junio hasta agosto de 2023.