Grupo de hackers previamente desconocido ataca a organizaciones de Hong Kong en ciberataque a la cadena de suministro
.jpeg)
Los hackers desconocidos y no atribuidos comprometieron software legítimo en un aparente ataque focalizado, dijeron investigadores.
Una campaña de hacking previamente desconocida tuvo como objetivo el software de protección de archivos, cifrado y descifrado como parte de un ataque a la cadena de suministro en objetivos no nombrados en Hong Kong y otras regiones de Asia, según un análisis publicado el martes.
Investigadores del Symantec Threat Hunter Team, parte de Broadcom, apodaron a los actores desconocidos detrás de la campaña "Carderbee" y dijeron que el grupo comprometió un archivo de actualización del software Cobra DocGuard con el objetivo de desplegar la puerta trasera Korplug (también conocida como PlugX), un malware ampliamente utilizado.
El malware fue firmado con un certificado legítimo de Microsoft, señalaron los investigadores, lo que puede dificultar mucho más su detección por parte del software de seguridad.
La campaña, que comenzó en abril de 2023, fue detectada en aproximadamente 100 computadoras en varias organizaciones. Dado que el software Cobra DocGuard —producido por EsafeNet, con sede en China, que a su vez es propiedad de la firma de seguridad informática china NSFOCUS— solo está instalado en unas 2,000 computadoras, "el atacante podría estar enviando cargas útiles selectivamente a víctimas específicas", dijeron los investigadores.
La campaña es solo el último ejemplo de un exitoso ataque a la cadena de suministro. En marzo, hackers con presuntos vínculos con Corea del Norte comprometieron con éxito el software de comercio financiero X_Trader, lo que llevó a un segundo ataque exitoso en la plataforma de comunicaciones en línea y video 3CX. En mayo, el sindicato de ransomware CL0P comprometió el servicio de compartición de archivos MOVEit, lo que resultó en la exfiltración de datos de más de 600 organizaciones en todo el mundo y datos asociados con decenas de millones de personas, según un análisis de Reuters.
Originalmente limitado a campañas de hacking relacionadas con China, PlugX ahora es lo suficientemente generalizado como para que no sea posible una atribución concluyente, dijeron los investigadores. Sin embargo, los archivos de actualización de Cobra DocGuard fueron comprometidos para atacar a una empresa de juegos de azar con sede en Hong Kong en septiembre de 2022, según ESET, por un esfuerzo de hacking vinculado a China rastreado como LuckyMouse (también conocido como APT27, Emissary Panda y Bronze Union). Esa campaña también entregó una variante del malware Korplug.
Las tácticas, técnicas y procedimientos similares insinúan una conexión china, incluso si aún no es posible una atribución completa. "La puerta trasera Korplug suele ser utilizada por grupos APT vinculados a China", dijo Brigid O. Gorman, analista de inteligencia senior con Symantec. "Además de esto, el objetivo es acorde con lo que hemos visto de grupos vinculados a China en el pasado. Como se indica en el blog, también hay algunas similitudes entre esta actividad y la actividad anterior llevada a cabo por el grupo Budworm (también conocido como APT27)".
Gorman se negó a elaborar sobre las víctimas en esta campaña en particular, pero señaló que aunque hubo algunas víctimas en el sur y sureste de Asia, "parece que las organizaciones en Hong Kong fueron los principales objetivos en esta campaña".
Los atacantes en este caso "son actores pacientes y habilidosos", concluyen los autores del informe, aprovechando "tanto un ataque a la cadena de suministro como malware firmado para llevar a cabo su actividad en un intento de pasar desapercibidos". Y aunque hay preguntas abiertas sobre el grupo, incluyendo una imagen más completa de los sectores objetivo en la campaña y vínculos con esfuerzos de hacking chinos establecidos, el caso es un recordatorio de que "los ataques a la cadena de suministro de software siguen siendo un problema importante para las organizaciones en todos los sectores".
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.
Comentarios
Publicar un comentario