Grupo APT Daggerfly

Un grupo de piratería patrocinado por el Estado afiliado a Beijing conocido como Daggerfly ha atacado a organizaciones en Taiwán y a una organización no gubernamental (ONG) estadounidense que opera en China. Han empleado un conjunto mejorado de herramientas de malware en estos ataques. Esta campaña indica que el grupo también realiza espionaje interno. Durante el ataque a la ONG, los piratas informáticos aprovecharon una vulnerabilidad en un servidor HTTP Apache para implementar su malware MgBot .

El amenazador arsenal del grupo Daggerfly APT (Advanced Persistent Threat)

Daggerfly, también conocido como Bronze Highland y Evasive Panda, ha estado utilizando el marco de malware modular MgBot para operaciones de recopilación de inteligencia dirigidas a proveedores de servicios de telecomunicaciones en África desde 2012. El grupo está capacitado para actualizar rápidamente su conjunto de herramientas en respuesta a la detección, lo que le permite continuar sus actividades de espionaje con la mínima interrupción.

Los últimos ataques involucran una nueva familia de malware derivada de MgBot y una versión mejorada de MACMA , un malware para macOS identificado por primera vez en noviembre de 2021. MACMA se distribuyó inicialmente a través de ataques de abrevadero que explotaban vulnerabilidades en Safari para dirigirse a usuarios en Hong Kong.

Esto marca la primera conexión explícita de MACMA con un grupo de hackers específico, lo que revela su capacidad para recopilar información confidencial y ejecutar comandos arbitrarios. La evidencia sugiere que los creadores de MACMA pueden haber reutilizado código de desarrolladores de ELF/Android, potencialmente dirigido también a dispositivos Android.

La asociación de MACMA con Daggerfly se ve respaldada por superposiciones en el código fuente con MgBot y el hecho de que se comunica con un servidor de Comando y Control (C2) (103.243.212.98) también utilizado por un cuentagotas de MgBot.

Amenazas de malware adicionales utilizadas por Daggerfly

Otra incorporación al arsenal del grupo es Nightdoor (también conocido como NetMM y Suzafk). Este implante aprovecha la API de Google Drive para comando y control (C2) y se ha utilizado en ataques de abrevadero dirigidos a usuarios tibetanos desde al menos septiembre de 2023. Esta actividad se documentó por primera vez en marzo.

El grupo ha demostrado capacidad para desarrollar versiones de sus herramientas para los principales sistemas operativos. Los investigadores han observado evidencia de APK de Android troyanizados, herramientas de interceptación de SMS, herramientas de interceptación de solicitudes de DNS y malware dirigido al sistema operativo Solaris.

¿Cómo proteger sus dispositivos de amenazas de malware?

Proteger los dispositivos de las amenazas de malware requiere un enfoque multifacético que combine tecnología, mejores prácticas y vigilancia del usuario. Estas son las mejores medidas que los usuarios deben implementar para proteger sus dispositivos:

• Instale y actualice periódicamente el software antimalware : utilice software de seguridad confiable para detectar y eliminar malware, asegurándose de que esté siempre lo más actualizado posible para protegerse contra las últimas amenazas. Además, habilite el escaneo en tiempo real para monitorear archivos y descargas a medida que se accede a ellos continuamente.
• Mantenga los sistemas operativos y el software actualizados : habilite las actualizaciones automáticas para su sistema operativo, navegadores y aplicaciones para recibir los últimos parches de seguridad rápidamente. Si no se puede acceder a las actualizaciones automáticas, verifíquelas periódicamente e instálelas manualmente para mantener la seguridad.
• Utilice cortafuegos : asegúrese de que el cortafuegos integrado en su sistema operativo esté activo para bloquear el acceso no autorizado. Para obtener protección adicional, especialmente en redes domésticas o comerciales, considere utilizar un firewall de hardware.
• Practique hábitos de navegación segura : evite visitar sitios web que parezcan no confiables o que tengan contenido cuestionable. Descargue software de fuentes oficiales y confiables y evite hacer clic en ventanas emergentes o anuncios que ofrecen descargas gratuitas para minimizar el riesgo de malware.
• Utilice contraseñas seguras y autenticación de dos factores (2FA) : utilice siempre contraseñas suficientemente seguras para diferentes cuentas y cámbielas periódicamente. Habilite 2FA para tener otra capa de seguridad, lo que complicará el acceso de posibles piratas informáticos.
• Tenga cuidado con el correo electrónico y los archivos adjuntos : esté atento a los correos electrónicos de phishing diseñados para engañarlo para que revele información personal o descargue malware. No acceda a archivos adjuntos de correo electrónico ni haga clic en enlaces de fuentes desconocidas o sospechosas.
• Realice copias de seguridad de los datos con regularidad : realice copias de seguridad de los datos importantes con regularidad en un disco duro externo o en un servicio en la nube, lo que garantiza que pueda recuperar información en caso de un ataque de malware. Periódicamente, asegúrese de que sus copias de seguridad estén completas y puedan restaurarse exitosamente.
• Utilice bloqueadores de anuncios y herramientas antiseguimiento : instale bloqueadores de anuncios para reducir el riesgo de encontrar anuncios fraudulentos. Además, utilice extensiones de navegador que bloqueen los scripts de seguimiento para evitar que se recopilen sus datos de navegación.
• Asegure su red : cambie todos los nombres de usuario y contraseñas predeterminados en su enrutador y otros dispositivos de red. Utilice un cifrado seguro (WPA3 o WPA2) para su red Wi-Fi y desactive WPS para mejorar la seguridad.
• Infórmese a usted mismo y a los demás : manténgase informado sobre las últimas amenazas de seguridad y las mejores prácticas. Eduque a los familiares o empleados sobre comportamientos seguros en línea y posibles amenazas para garantizar que todos estén conscientes y atentos.

Al integrar estas medidas en todos los dispositivos, es probable que los usuarios reduzcan el riesgo de infecciones de malware y mejoren significativamente la seguridad general.