Khmer Shadow se dirige a entidades gubernamentales de Camboya en una campaña de espionaje

Resumen

Un nuevo grupo de amenazas identificado, rastreado como Khmer Shadow, está llevando a cabo operaciones de espionaje contra organizaciones gubernamentales de Camboya, particularmente en los sectores de defensa y obras públicas. Los atacantes utilizan un cargador C++ personalizado llamado NIGHTFORGE para descargar una carga útil Havoc Demon directamente en la memoria. La campaña también emplea métodos avanzados de evasión, incluyendo el desenlace de NTDLL y la resolución de syscall del Hell’s Gate, para reducir la visibilidad y eludir los controles de seguridad.

Investigación

Acronis TRU descubrió dos campañas separadas que utilizaron archivos autodescomprimibles con temática de reuniones como método inicial de entrega. Los analistas examinaron el cargador NIGHTFORGE y documentaron su capacidad para resolver syscalls dinámicamente y desenlazar NTDLL para ocultar actividades maliciosas. La investigación también conectó múltiples entornos de comando y control pivotando sobre huellas digitales JARM compartidas y Certificados de Origen de Cloudflare reutilizados.

Mitigación

Las organizaciones deben implementar un fuerte monitoreo para comportamientos sospechosos de carga dinámica de DLL, especialmente cuando están involucrados binarios legítimos firmados como VMwareNamespaceCmd.exe . Los defensores también deben observar la creación no autorizada de tareas programadas y procesos descendientes inusuales, incluyendo gpupdate.exe, siendo lanzados por procesos padres inesperados. La protección de puntos finales capaz de detectar actividad directa de syscalls y cargas útiles residentes en memoria puede mejorar aún más la cobertura.

Respuesta

Si se detecta actividad de Khmer Shadow, los sistemas afectados deben ser aislados inmediatamente para interrumpir la comunicación de mando y control. Los investigadores deben realizar análisis forenses del directorio %LOCALAPPDATA% para identificar cualquier artefacto persistente relacionado con VMwareNamespace. También se deben revisar los registros de la red en busca de tráfico HTTPS saliente hacia los dominios de mando y control conocidos, y las credenciales utilizadas en los sistemas comprometidos deben ser restablecidas.

Ejecución de Simulación

Prerequisito: La Verificación Pre-vuelo de Telemetría y Línea Base debe haber pasado.

Racional: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntan a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa del Ataque y Comandos: Un adversario ha desplegado con éxito un implante Havoc Demon en una estación de trabajo dentro de la red objetivo. Para establecer Mando y Control (C2) y evadir defensas de perímetro básicas, el implante está configurado para comunicarse con un conjunto específico de dominios identificados en inteligencia de amenazas reciente sobre la actividad de Khmer Shadow. El implante iniciará una solicitud HTTP GET a sharingfile.cloud para señalar su presencia y esperar más instrucciones. Esta acción está diseñada para generar una entrada en el registro proxy que contenga la cadena de dominio sospechoso.

• Script de Prueba de Regresión:

  # Script de simulación para activar la regla de detección C2 de Khmer Shadow
  # Esto imita un registro C2 a través de una solicitud HTTP a un dominio sospechoso.
  
  $C2_Domain = "http://sharingfile.cloud/api/v1/checkin"
  $UserAgent = "Havoc-Demon-Implant-v1.0"
  
  Write-Host "[!] Iniciando comunicación C2 simulada a: $C2_Domain" -ForegroundColor Red
  
  try {
      # Usando Invoke-WebRequest para simular la actividad de la red
      # Se utiliza un User-Agent personalizado para imitar una firma de herramienta específica
      $response = Invoke-WebRequest -Uri $C2_Domain -UserAgent $UserAgent -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] Solicitud enviada con éxito (Nota: Se espera fallo si el dominio está hundido/fuera de línea)." -ForegroundColor Green
  }
  catch {
      Write-Host "[+] Solicitud intentada. Revise los registros proxy para intento de conexión al dominio sospechoso." -ForegroundColor Yellow
  }

• Comandos de Limpieza:

  # No se realizaron cambios persistentes con esta simulación. 
  # Limpiando el historial de comandos para eliminar trazas de la simulación.
  Clear-History
  Write-Host "[+] Limpieza completa." -ForegroundColor Green