Un grupo de ciberdelincuentes vinculado a China, conocido como Mustang Panda, ha sido observado utilizando el editor de texto Visual Studio Code en operaciones de espionaje contra entidades gubernamentales en el sudeste asiático.
Actividad prolongada y geográfica
La actividad forma parte de una campaña que se extiende desde 2012 y que incluye ataques a instituciones públicas y religiosas en Europa y Asia, especialmente en países del Mar de China Meridional.
Técnicas empleadas por el grupo
El grupo utiliza una técnica relativamente nueva que aprovecha la extensión «Remote – Tunnels» para crear un shell inverso y acceder a las redes objetivo. Esta técnica fue demostrada por primera vez en septiembre de 2023 por Truvis Thornton.
El ataque puede realizarse tanto desde una versión instalada como portable de Visual Studio Code. Al ejecutar el comando code.exe tunnel, el atacante recibe un enlace que le requiere iniciar sesión en GitHub con su propia cuenta. Una vez hecho esto, el atacante es redirigido a un entorno web del editor de texto conectado a la máquina infectada, lo que le permitiría ejecutar comandos en dicha máquina.
Objetivos y acciones del ataque
Mustang Panda utilizó este mecanismo para enviar malware, realizar tareas de reconocimiento y exfiltrar datos sensibles, además de poder haber usado OpenSSH para ejecutar comandos, transferir archivos y propagarse por la red.
Presencia de otros backdoors
Un análisis más detallado del entorno de infección revela una segunda línea de ataque simultánea y a veces incluso en los mismos endpoints con el backdoor ShadowPad, ampliamente compartido por grupos de espionaje chinos.
Relación con ataques anteriores
Se sospecha que estas acciones son la continuación de un ataque anteriormente documentado contra una entidad gubernamental del sudeste asiático no identificada a finales de septiembre de 2023.
Identidades alternativas del grupo
Mustang Panda, también conocido como BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta y Red Lich, ha estado en funcionamiento desde 2012. Ha llevado a cabo habitualmente campañas de ciberespionaje dirigidas contra entidades gubernamentales y religiosas de Europa y Asia.
Riesgos asociados
- Envío de malware
- Realización de tareas de reconocimiento
- Exfiltración de datos sensibles
- Uso de OpenSSH para ejecutar comandos, transferir archivos y propagarse por la red
- Ataques a entidades gubernamentales
Mitigaciones recomendadas
Mantener actualizadas las medidas de seguridad en entornos informáticos.