Hackers Vinculados al Estado Chino Combinan Herramientas Automatizadas con Ataques Manuales

Resumen

Actores vinculados al gobierno chino, apoyados por Integrity Technology Group, utilizan una combinación de herramientas de escaneo automatizadas, botnets de gran escala y explotación manual. Apuntan a datos sensibles en sectores de infraestructura crítica usando vulnerabilidades en aplicaciones web y servidores Microsoft Exchange. Los actores emplean varias técnicas para persistencia, robo de credenciales y exfiltración de datos para lograr sus objetivos.

Investigación

La investigación fue realizada por varias agencias internacionales, incluyendo el FBI, CISA, NSA y otros, basándose en evidencia técnica recuperada de múltiples investigaciones relacionadas con Integrity Technology Group. Analistas observaron el uso de herramientas personalizadas como MicroScan, EBurst y Curlc4.txt, junto a técnicas estándar de living-off-the-land. Los hallazgos revelaron malware específico como live700_v1.exe y el uso de SoftEther VPN para la persistencia.

Mitigación

Las organizaciones deben priorizar la desactivación de servicios y puertos no utilizados y sanitizar las entradas de aplicaciones web para prevenir ataques de inyección. Implementar la autenticación multifactor (MFA) para todos los servicios y adoptar políticas sólidas de gestión de identidad y acceso (ICAM) es crítico. Además, se recomienda el parcheo oportuno de software y firmware para reducir el riesgo de explotación.

Respuesta

Al detectar, las organizaciones deben aislar los hosts comprometidos e iniciar la caza de amenazas para determinar el alcance completo de la intrusión. Revisar los logs y artefactos relevantes para identificar TTPs específicos y una línea de tiempo de actividades. Implementar contramedidas de desalojo sistemáticamente usando playbooks establecidos para contener y erradicar al actor de la amenaza de la red.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario ha ganado acceso inicial a la estación de trabajo. Para mantener la persistencia y evadir la detección por parte de los analistas del SOC que buscan binarios desconocidos, el adversario realiza una técnica de «Suplantación». Ellos toman un ejecutable benigno simple (en este caso, calc.exe) y lo renombran como DiagTrack.exe. Luego ejecutan este archivo renombrado desde un directorio no estándar (C:UsuariosPúblico). Esta acción está destinada a activar la regla de detección que monitorea la ejecución de DiagTrack.exe cuando se utiliza como herramienta de suplantación.

• Script de Prueba de Regresión:

  # Script de Simulación: Suplantando como DiagTrack.exe
  $TargetDir = "C:UsuariosPúblicoDescargas"
  $MaliciousName = "DiagTrack.exe"
  $SourceBinary = "C:WindowsSystem32calc.exe"
  
  # 1. Crear directorio si no existe
  if (!(Test-Path $TargetDir)) {
      New-Item -ItemType Directory -Path $TargetDir -Force | Out-Null
  }
  
  # 2. Copiar y renombrar el binario para suplantar
  Copy-Item -Path $SourceBinary -Destination "$TargetDir$MaliciousName" -Force
  
  # 3. Ejecutar el binario suplantado para activar la detección
  Write-Host "[+] Ejecutando binario suplantado: $TargetDir$MaliciousName"
  Start-Process -FilePath "$TargetDir$MaliciousName"
  
  Write-Host "[+] Simulación completa. Verificar SIEM para detección."

• Comandos de Limpieza:

  # Script de Limpieza
  $TargetDir = "C:UsuariosPúblicoDescargas"
  $MaliciousName = "DiagTrack.exe"
  
  if (Test-Path "$TargetDir$MaliciousName") {
      Remove-Item -Path "$TargetDir$MaliciousName" -Force
      Write-Host "[+] Limpieza exitosa: $MaliciousName eliminado."
  } else {
      Write-Host "[-] Limpieza fallida: Archivo no encontrado."
  }