Actores vinculados a China mantienen su enfoque en organizaciones que influyen en la política de EE.UU.

Análisis

Grupos de amenazas vinculados al estado chino, como APT41, Kelp (Typhoon de Sal), Space Pirates y el subgrupo Earth Longzhi, llevaron a cabo una intrusión de múltiples etapas contra una organización sin fines de lucro de EE.UU. que influye en la política gubernamental. Los atacantes realizaron un escaneo inicial en busca de exploits conocidos (por ejemplo, CVE-2022-26134, CVE-2021-44228, CVE-2017-9805, CVE-2017-17562), utilizaron curl para probar la conectividad, recopilaron datos de red con netstat, crearon tareas programadas para mantener la persistencia, realizaron carga lateral de DLL a través del componente legítimo de VipreAV vetysafe.exe y emplearon herramientas como Dcsync e Imjpuexc. La campaña tenía como objetivo mantener un acceso encubierto a largo plazo y potencialmente comprometer los controladores de dominio.

Investigación

La investigación identificó una serie de técnicas ATT&CK: Reconocimiento (T1595) a través de escaneo masivo de servicios vulnerables; Acceso Inicial (T1190) usando exploits CVE-2022-26134, CVE-2021-44228, CVE-2017-9805, CVE-2017-17562; pruebas de Comando y Control con solicitudes curl a sitios externos (https://www.google.com , https://www.microsoft.com , etc.); Descubrimiento (T1049) usando netstat para enumerar conexiones de red; Persistencia (T1053) mediante una tarea programada creada con schtasks /create /tn MicrosoftWindowsRasOutbound; Evasión de Defensa (T1574.002) a través de carga lateral de DLL de sbamres.dll a través de vetysafe.exe; Acceso a Credenciales (T1003) usando Dcsync para replicar datos del directorio; Ejecución (T1059) de cargadores personalizados e Imjpuexc. Las herramientas observadas incluyeron utilidades legítimas de Windows (netstat, schtasks), curl, msbuild.exe, vetysafe.exe (VipreAV), sbamres.dll, Dcsync, Imjpuexc, y un cargador encriptado personalizado. Se registraron Indicadores de Compromiso (IOCs) como valores hash para sbamres.dll, imjpuexc.exe y tráfico de red a hxxp://38.180.83[.]166/6CDF0FC26CDF0FC2.

Mitigación

• • Parchear todo el software vulnerable inmediatamente, especialmente los productos de Atlassian (CVE-2022-26134), Log4j (CVE-2021-44228), Apache Struts (CVE-2017-9805) y GoAhead (CVE-2017-17562).
• • Implementar control de aplicaciones (por ejemplo, AppLocker, Control de Aplicaciones de Windows Defender) para bloquear la ejecución no autorizada de utilidades comunes como curl, msbuild.exe, y cargadores personalizados desde directorios no estándar.
• • Imponer políticas estrictas de privilegio mínimo; restringir la creación de tareas programadas solo a administradores autorizados. Desplegar reglas de detección de carga lateral de DLL y monitorear la ejecución de binarios legítimos conocidos cargando DLL inesperadas (por ejemplo, vetysafe.exe cargando sbamres.dll).
• • Habilitar el monitoreo de actividad Dcsync y solicitudes de replicación anómalas en controladores de dominio.
• Segmentar redes para limitar el movimiento lateral y aislar activos críticos como los controladores de dominio.
• • Realizar escaneos de vulnerabilidad regulares y prevención de explotación impulsada por inteligencia de amenazas basada en CVEs emergentes.
•  

Respuesta

• • Aislar el (los) anfitrión(es) comprometido(s) y cualquier sistema que muestre IOCs similares.
• • Capturar memoria volátil e imágenes de disco para análisis forense.
• • Eliminar tareas programadas maliciosas y borrar archivos XML desconocidos utilizados por msbuild.exe.
• • Reemplazar o limpiar binarios comprometidos (vetysafe.exe, msbuild.exe) y verificar firmas.
• • Rotar credenciales, especialmente para cuentas privilegiadas y cuentas de administrador de dominio; auditar para dumping de credenciales.
• • Bloquear tráfico C2 saliente al host malicioso (hxxp://38.180.83[.]166).
• • Realizar una auditoría completa de controladores de dominio para asegurar que no queden puertas traseras o mecanismos de persistencia.
• • Actualizar firmas de detección en herramientas SIEM y de endpoints para las herramientas e IOCs observados.
•  

Instrucciones de Simulación

• Narrativa de Ataque & Comandos:

  1. Persistencia a través de msbuild.exe – El atacante crea un proyecto XML malicioso (evil.xml) que ejecuta una carga útil de PowerShell para descargar una DLL de puerta trasera.
  2. Carga lateral de DLL con vetysafe.exe – Se coloca una DLL maliciosa (evil.dll) junto a vetysafe.exe; al ejecutar vetysafe.exe se carga la DLL, logrando ejecución de código (T1055.001/T1574.001).
  3. Reconocimiento de red con netstat.exe – El atacante ejecuta netstat -ano para enumerar las conexiones activas, recopilando datos para movimiento lateral (T1049).

• Script de Prueba de Regresión:

  # ---------------------------------------------------------
  # Simulación de Ataque – activa la regla Sigma para vetysafe, msbuild, netstat
  # ---------------------------------------------------------
  
  # 1. Preparar DLL maliciosa (alerta simple para demostración)
  $dllPath = "$env:TEMPevil.dll"
  Set-Content -Path $dllPath -Value ([byte[]](0x4D,0x5A,0x90,0x00)) # Encabezado PE falso
  
  # 2. Copiar vetysafe.exe (supuesto presente en C:WindowsSystem32) a la carpeta temporal
  $vetysafe = "$env:SystemRootSystem32vetysafe.exe"