Panda Acuático (Earth Lusca): Campañas, Malware y TTPs

Resumen

Aquatic Panda es un grupo APT alineado con China que se centra en la recopilación de inteligencia y el espionaje industrial. El grupo utiliza un arsenal diverso de malware, incluidos SprySOCKS, ShadowPad y BIOPASS RAT, para atacar industrias críticas. Sus operaciones también implican la explotación de vulnerabilidades como Log4Shell y el uso de rootkits avanzados para mantener la ocultación.

Investigación

El informe describe múltiples campañas, incluidas la Operación FishMedley y ataques que involucran servidores VMware Horizon. Examina el diseño técnico del backdoor SprySOCKS, incluidas sus funcionalidades de rootkit en modo kernel y características de persistencia. El análisis también desglosa las TTPs específicas del grupo para el acceso inicial, ejecución y evasión de defensas.

Mitigación

Las organizaciones deben validar sus defensas contra las técnicas conocidas de Aquatic Panda utilizando plataformas de simulación y pruebas. Las mitigaciones clave incluyen parches para vulnerabilidades de Log4j como CVE-2021-44228 y monitoreo de tareas programadas no autorizadas o cambios sospechosos en servicios de Windows. Una fuerte detección de endpoints también es esencial para identificar la actividad de carga de DLL y la inyección de procesos.

Respuesta

Si se detecta actividad de Aquatic Panda, los respondedores deben aislar los sistemas afectados inmediatamente para detener el movimiento lateral. Las investigaciones deben centrarse en cambios no autorizados en el registro, especialmente dentro de los procesadores de impresión o configuraciones IFEO. El análisis forense debe dar prioridad a la recopilación de memoria de procesos sospechosos y auditoría de tareas programadas y servicios de Windows.

## Ejecución de Simulación

Requisito previo: La Verificación de Telemetría y Línea de Base debe haber sido aprobada.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activarse con la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar exactamente la telemetría esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa del Ataque y Comandos: Un adversario pretende realizar el hollowing de procesos para ocultar código malicioso dentro de un contenedor de proceso legítimo. Para probar si el actual (aunque imperfecto) sistema de detección se dispara, el adversario lanzará powershell.exe desde un directorio específico. Esto simula la fase inicial de un ataque de Viviendo de la Tierra (LotL) donde el adversario usa una herramienta estándar del sistema para comenzar sus actividades maliciosas, como la inyección de memoria o la extracción de credenciales. El objetivo es generar un Evento de Creación de Proceso evento donde el Imagen campo contenga una barra inversa, como se define en la lógica de detección.

• Script de Prueba de Regresión:

   # Simulando un lanzamiento de proceso que satisface la lógica de detección (débil)
    # Esto imita el inicio de una sesión del adversario usando una herramienta estándar
    $targetProcess = "C:WindowsSystem32WindowsPowerShellv1.0powershell.exe"
    Write-Host "Ejecutando: $targetProcess"
    Start-Process -FilePath $targetProcess -ArgumentList "-NoProfile -ExecutionPolicy Bypass -Command Write-Host 'Simulación Activa'"

• Comandos de Limpieza:

   # No se realizaron cambios persistentes; no se requiere limpieza para esta simulación.
    Write-Host "Limpieza de simulación completa."