Búsqueda de Negocios APT y Ataques Dirigidos dentro de Shadow-Earth-053: Una Campaña de Ciberespionaje Alineada con China Contra Sectores Gubernamentales y de Defensa en Asia

Ruslan Mikhalov Jefe de Investigación de Amenazas en SOC Prime

Seguir

Búsqueda de Negocios APT y Ataques Dirigidos dentro de Shadow-Earth-053: Una Campaña de Ciberespionaje Alineada con China Contra Sectores Gubernamentales y de Defensa en Asia

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Un grupo de amenazas alineado con China, rastreado como SHADOW-EARTH-053, ha estado explotando servidores Microsoft Exchange e IIS no parchados a través de la cadena de vulnerabilidades ProxyLogon para desplegar web shells e instalar la familia de malware ShadowPad. El grupo utiliza carga DLL a través de binarios firmados legítimos, ejecución de cargas útiles basadas en el registro y múltiples herramientas de túnel para preservar el acceso encubierto de comando y control. Las víctimas observadas incluyen ministerios gubernamentales, contratistas vinculados a la defensa y entidades de transporte en varios países asiáticos, así como un estado miembro de la OTAN. La actividad destaca el peligro continuo que representan los fallos antiguos de Exchange cuando se combinan con técnicas maduras de post-compromiso.

Investigación

Los investigadores documentaron la implementación de web shells utilizando nombres de archivo como error.aspx and tunnel.ashx en directorios comunes de IIS, seguido de la entrega de ShadowPad mediante carga DLL con ejecutables confiables como runtimebroker.exe. También identificaron puertas traseras adicionales, incluyendo mdync.exe, comunicándose con infraestructura externa, mientras que herramientas de túnel como GOST, Wstunnel y code.exe fueron preparadas en C:UsersPublic. La actividad de robo de credenciales involucró Mimikatz y utilidades personalizadas como Evil-CreateDump and newdcsync, ejecutadas a través del proceso de trabajo de IIS. La persistencia fue apoyada a través de cambios de registro como LocalAccountTokenFilterPolicy y tareas programadas, incluidas M1onltor.

Mitigación

Las organizaciones deben aplicar todas las actualizaciones de seguridad disponibles para Microsoft Exchange Server e IIS, dando prioridad a los CVE relacionados con ProxyLogon. Los cortafuegos de aplicaciones web o controles de prevención de intrusiones deben configurarse para bloquear intentos de explotación antes de la ejecución. Los defensores también deben reforzar el monitoreo de integridad de archivos en directorios de cara al público y prevenir la creación no autorizada de .aspx, .ashx, o .jsp archivos. Otros pasos de endurecimiento incluyen restringir los permisos de proceso de IIS, reducir el acceso de escritura, monitorear procesos secundarios lanzados por w3wp.exe, desactivar servicios no utilizados y aplicar listas de permisos de aplicaciones en servidores críticos.

Respuesta

Los equipos de seguridad deben alertar sobre la aparición de .aspx or .ashx archivos desconocidos dentro de rutas de IIS y sobre tareas programadas llamadas M1onltor. La cobertura de detección también debe incluir la ejecución de herramientas como Mimikatz y PowerView, así como actividad de carga DLL que involucre binarios firmados. La comunicación de salida a las direcciones IP maliciosas identificadas y el dominio check[.]office365-update[.]com debe ser bloqueada de inmediato. Los respondedores de incidentes deben realizar luego una revisión forense de valores sospechosos bajo HKEY_CURRENT_USERSoftware y eliminar cualquier tarea programada no autorizada o artefactos de persistencia.

"graph TB %% Clase de definiciones secciones classDef technique fill:#99ccff classDef operator fill:#ff9900 %% Node definitions tech_exploit_pf["Techniques – T1190 Explotación de Aplicaciones Expuestas Los adversarios explotan vulnerabilidades en aplicaciones accesibles por Internet para ganar acceso inicial."] class tech_exploit_pf technique tech_webshell["Techniques – T1505.003 Componente de Software de Servidor Web Shell Los adversarios instalan un web shell en un servidor comprometido para mantener acceso persistente."] class tech_webshell technique tech_code_sign["Techniques – T1553.002 Subvertir Controles de Confianza Firma de Código Los adversarios cargan laterales DLL firmadas para ejecutar código malicioso mientras aparentan ser de confianza."] class tech_code_sign technique tech_masquerade["Techniques – T1036 Suplantación Los adversarios renombran utilidades y las empaquetan con herramientas como RingQ para lucir legítimas."] class tech_masquerade technique tech_cred_dump["Techniques – T1003 Volcado de Credenciales del Sistema Operativo Los adversarios obtienen credenciales del sistema operativo utilizando herramientas como Mimikatz, Evil CreateDump o DCSync."] class tech_cred_dump technique tech_account_manip["Techniques – T1098.002 Manipulación de Cuentas Permisos de Delegado de Correo Electrónico Los adversarios se añaden como delegados en buzones de correo de las víctimas para leer y enviar correos electrónicos."] class tech_account_manip technique tech_exploit_remote["Techniques – T1210 Explotación de Servicios Remotos Los adversarios usan WMIC o SMBExec para ejecutar comandos en hosts remotos para movimiento lateral."] class tech_exploit_remote technique tech_proxy["Techniques – T1090 Proxy Los adversarios emplean herramientas de proxy como GOST, Wstunnel o núcleo de tunnel para retransmitir tráfico a través de múltiples saltos."] class tech_proxy technique tech_tunnel["Techniques – T1572 Tunelización de Protocolos Los adversarios tunelizan tráfico sobre los protocolos SOCKS5 o HTTPS para comunicarse con comando y control."] class tech_tunnel technique tech_email_collect["Techniques – T1114 Recolección de Correos Electrónicos Los adversarios cosechan datos de correo electrónico de servidores Exchange usando APIs de Exchange Web Services."] class tech_email_collect technique tech_archive["Techniques – T1567.001 Archivar Datos Recogidos Los adversarios comprimen datos robados en un archivo RAR protegido con contraseña para su exfiltración."] class tech_archive technique %% Conexiones mostrando flujo tech_exploit_pf –>|conduce a| tech_webshell tech_webshell –>|usa| tech_code_sign tech_webshell –>|usa| tech_masquerade tech_webshell –>|habilita| tech_cred_dump tech_cred_dump –>|habilita| tech_account_manip tech_webshell –>|habilita| tech_exploit_remote tech_exploit_remote –>|facilita| tech_proxy tech_proxy –>|habilita| tech_tunnel tech_webshell –>|habilita| tech_email_collect tech_email_collect –>|conduce a| tech_archive "

Flujo de Ataque

Narrativa de Ataque y Comandos:
Un adversario ha obtenido un binario personalizado de tunneling (por ejemplo, tunnel.exe) en el host comprometido. Para evitar la detección durante la descarga inicial, el binario se prepara en C:ProgramData, un directorio comúnmente escribible por usuarios estándar y frecuentemente utilizado para instalaciones legítimas. Después de la preparación, el atacante ejecutará posteriormente la herramienta para establecer un canal encubierto. El paso de preparación se realiza con el Copy-Itemde PowerShell, produciendo un evento de creación de archivo que coincide con los criterios de ruta de la regla de detección.

Script de Prueba de Regresión:

# Simulación de herramientas en preparación en un directorio supervisado
$stagingPath = "C:ProgramDatatunnel.exe"
$payload = [IO.Path]::GetTempFileName()
# Crear un binario ficticio (bytes aleatorios) para imitar una herramienta real
$rand = New-Object byte[] 1024
(New-Object System.Random).NextBytes($rand)
Set-Content -Path $payload -Value $rand -Encoding Byte -Force

# Copiar el binario ficticio a la ubicación de preparación
Copy-Item -Path $payload -Destination $stagingPath -Force

# Salida para verificación manual
Write-Host "Staged dummy tunneling tool at $stagingPath"

Comandos de Limpieza:

# Eliminar el archivo preparado y la carga útil temporal
Remove-Item -Path "C:ProgramDatatunnel.exe" -Force -ErrorAction SilentlyContinue
Remove-Item -Path $payload -Force -ErrorAction SilentlyContinue
Write-Host "Limpieza completada."

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis