Puerta trasera TinyNote
El grupo de estado-nación chino llamado Camaro Dragon se ha asociado una vez más con la creación de una nueva puerta trasera que se alinea con sus objetivos de recopilación de inteligencia. Esta puerta trasera, conocida como TinyNote, está construida usando el lenguaje de programación Go. Si bien es posible que TinyNote no muestre niveles avanzados de sofisticación, lo compensa empleando una variedad de estrategias para garantizar el acceso persistente a los hosts comprometidos.
TinyNote funciona como una carga útil de primera etapa, enfocada principalmente en realizar una enumeración básica de máquinas y ejecutar comandos usando PowerShell o Goroutines. El malware emplea múltiples métodos para mantener un punto de apoyo en el sistema comprometido. Esto incluye realizar varias tareas de persistencia y utilizar diferentes técnicas para comunicarse con sus servidores.
El objetivo del Camaro Dragon parece ser mantener una presencia resistente y persistente dentro del host comprometido, maximizando su capacidad para recopilar inteligencia y potencialmente ejecutar más actividades maliciosas. Vale la pena señalar que la actividad de Camaro Dragon se superpone con las acciones de un actor de amenazas rastreado como Mustang Panda por la comunidad de ciberseguridad. También se cree que Mustang Panda es un grupo de ciberdelincuencia patrocinado por el estado de China, con señales que indican que ha sido diligente desde al menos 2012.
La puerta trasera de TinyNote se utiliza para dirigirse a las embajadas gubernamentales
La distribución de TinyNote Backdoor implica el uso de nombres de archivos relacionados con asuntos exteriores, como 'PDF_ Lista de contactos de miembros diplomáticos invitados'. La campaña de ataque muestra un enfoque deliberado en las embajadas del sudeste y este de Asia.
Un aspecto importante de este malware en particular es su capacidad para evadir la detección de Smadav, una solución antivirus comúnmente utilizada en Indonesia. Esta capacidad demuestra la preparación minuciosa y el amplio conocimiento que poseen los atacantes sobre los entornos de sus víctimas y la región en su conjunto.
El despliegue de TinyNote Backdoor exhibe la naturaleza específica de las operaciones de Camaro Dragon y la extensa investigación que realizan antes de infiltrarse en los sistemas de sus víctimas previstas. Al utilizar simultáneamente esta puerta trasera junto con otras herramientas con diferentes niveles de sofisticación técnica, los actores de amenazas demuestran sus esfuerzos activos para diversificar su arsenal de ataques.
Los ciberdelincuentes continúan expandiendo y evolucionando sus técnicas y su arsenal amenazante
Estos hallazgos arrojan luz sobre las tácticas avanzadas empleadas por Camaro Dragon, destacando su enfoque estratégico y su compromiso de adaptar sus técnicas para maximizar la efectividad y lograr sus objetivos. El despliegue de TinyNote Backdoor subraya el enfoque del grupo en objetivos específicos y sus esfuerzos continuos para mantenerse a la vanguardia en el panorama cambiante de las ciberamenazas.
Mustang Panda llamó la atención con el desarrollo de un implante de firmware personalizado conocido como Horse Shell. Este implante apunta específicamente a los enrutadores TP-Link, transformándolos en una red de malla que permite la transmisión de comandos entre los servidores de Comando y Control (C2) y los dispositivos infectados.
Esencialmente, el propósito de este implante es ofuscar actividades dañinas utilizando enrutadores domésticos comprometidos como infraestructura intermedia. Al hacerlo, los atacantes crean una red que permite que las comunicaciones con las computadoras infectadas parezcan originarse desde un nodo diferente, agregando una capa adicional de complejidad a sus operaciones.
Los hallazgos recientes destacan no solo el avance y la sofisticación de las tácticas de evasión de los atacantes, sino también la naturaleza en constante evolución de sus estrategias de selección. Además, los atacantes emplean una amplia gama de herramientas personalizadas diseñadas para romper las defensas de diferentes objetivos, lo que enfatiza su compromiso de emplear un enfoque integral y adaptativo.
Estos desarrollos muestran la creciente complejidad y las capacidades de los grupos de ciberdelincuentes a medida que refinan continuamente sus técnicas y herramientas para evadir la detección y comprometer una amplia gama de objetivos. El uso del implante de firmware Horse Shell ejemplifica su ingenio en la reutilización de la infraestructura existente para fines amenazantes, amplificando los desafíos que enfrentan los defensores para detectar y mitigar estas amenazas sofisticadas.
