Los investigadores de seguridad han descubierto una campaña maliciosa de larga duración de piratas informáticos asociados con el gobierno chino que utilizan VLC Media Player para lanzar un cargador de malware personalizado.
La campaña parece tener fines de espionaje y se ha dirigido a varias entidades involucradas en actividades gubernamentales, legales y religiosas, así como a organizaciones no gubernamentales (ONG) en al menos tres continentes.
Esta actividad se ha atribuido a un actor de amenazas rastreado como Cicada (también conocido como menuPass, Stone Panda, Potasio, APT10, Red Apollo) que ha estado activo durante más de 15 años, al menos desde 2006.
Uso de VLC para implementar un cargador de malware personalizadoEl inicio de la campaña actual de Cicada se ha rastreado hasta mediados de 2021 y todavía estaba activo en febrero de 2022. Los investigadores dicen que esta actividad puede continuar hoy.
Hay evidencia de que algún acceso inicial a algunas de las redes violadas fue a través de un servidor de Microsoft Exchange, lo que indica que el actor explotó una vulnerabilidad conocida en máquinas sin parches.
Los investigadores de Symantec, una división de Broadcom, descubrieron que después de obtener acceso a la máquina de destino, el atacante implementó un cargador personalizado en los sistemas comprometidos con la ayuda del popular reproductor multimedia VLC.
Brigid O Gorman de Symantec Threat Hunter Team le dijo a BleepingComputer que el atacante usa una versión limpia de VLC con un archivo DLL malicioso en la misma ruta que las funciones de exportación del reproductor multimedia.
La técnica se conoce como carga lateral de DLL y es ampliamente utilizada por los actores de amenazas para cargar malware en procesos legítimos para ocultar la actividad maliciosa.
Aparte del cargador personalizado, del que O Gorman dijo que Symantec no tiene nombre pero que se ha visto en ataques anteriores atribuidos a Cicada/APT10, el adversario también implementó un servidor WinVNC para obtener control remoto sobre los sistemas de las víctimas.
El atacante también ejecutó la puerta trasera Sodamaster en redes comprometidas, una herramienta que se cree que utiliza exclusivamente el grupo de amenazas Cicada desde al menos 2020.
Sodamaster se ejecuta en la memoria del sistema (sin archivos) y está equipado para evadir la detección buscando en el registro pistas de un entorno de pruebas o retrasando su ejecución.
El malware también puede recopilar detalles sobre el sistema, buscar procesos en ejecución y descargar y ejecutar varias cargas útiles desde el servidor de comando y control.
Varias otras utilidades que se han observado en esta campaña incluyen:- Herramienta de archivo RAR: ayuda a comprimir, cifrar o archivar archivos, probablemente para exfiltración
- Detección de sistemas/redes: una forma para que los atacantes conozcan los sistemas o servicios conectados a una máquina infectada.
- WMIExec: herramienta de línea de comandos de Microsoft que se puede usar para ejecutar comandos en computadoras remotas
- NBTScan: una herramienta de código abierto que se ha observado que utilizan los grupos APT para el reconocimiento en una red comprometida
El tiempo de permanencia de los atacantes en las redes de algunas de las víctimas descubiertas duró hasta nueve meses, señalan los investigadores en un informe de hoy.
Un enfoque más amplioMuchas de las organizaciones a las que se dirige esta campaña parecen estar relacionadas con el gobierno o con ONG (involucradas en actividades educativas o religiosas), así como empresas de los sectores de telecomunicaciones, legal y farmacéutico.
Los investigadores de Symantec destacan la amplia geografía de esta campaña Cicada, que cuenta víctimas en EE. UU., Canadá, Hong Kong, Turquía, Israel, India, Montenegro e Italia.
Para tener en cuenta, solo una víctima es de Japón, un país que ha sido el foco del grupo Cicada durante muchos años.
En comparación con la orientación anterior de este grupo, que se centró en empresas vinculadas a Japón, las víctimas de esta campaña indican que el actor de amenazas ha ampliado su interés.
Si bien se centró en empresas vinculadas a Japón, Cicada se ha centrado en los sectores de salud, defensa, aeroespacial, finanzas, marítimo, biotecnología, energía y gobierno en el pasado.
Al menos dos miembros del grupo de amenazas APT10 han sido acusados en los EE. UU. por actividades de piratería informática para ayudar a la Oficina de Seguridad del Estado de Tianjin del Ministerio de Seguridad del Estado (MSS) de China a obtener propiedad intelectual e información comercial confidencial de proveedores de servicios administrados, agencias gubernamentales de EE. UU. y más de 45 empresas de tecnología.
Fuente:https://www.bleepingcomputer.com/ 
This site uses cookies own and third. If you continue to browse consider to accept the use of cookies.