Los espías chinos de «Earth Baxia» están utilizando geoservidores para atacar la región de Asia y el Pacífico

Un grupo de ciberespionaje vinculado a China se ha dirigido a agencias gubernamentales taiwanesas, a los ejércitos filipino y japonés y a empresas de energía en Vietnam, instalando el cliente Cobalt Strike o una puerta trasera personalizada llamada EagleDoor en las máquinas infectadas.

El grupo, denominado Earth Baxia por la firma de ciberseguridad Trend Micro, utiliza principalmente phishing para comprometer a las víctimas, pero también aprovechó una vulnerabilidad (CVE-2024-36401) en el software de código abierto GeoServer que podría usarse para difundir datos geoespaciales. El grupo utiliza servicios de nube pública para alojar archivos maliciosos y no parece estar afiliado a ningún otro grupo conocido de Amenaza Persistente Avanzada (APT), aunque al menos un análisis ha encontrado una superposición entre APT41, también conocido como Wicked Panda y Brass Typhoon.

La mayor parte de la infraestructura del grupo está ubicada en China y sus ataques tienen como objetivo países de interés nacional chino, dice Ted Lee, investigador de amenazas de Trend Micro.

“En campañas recientes, sus principales objetivos son las agencias gubernamentales y otras infraestructuras críticas. [such as] Telecomunicaciones, en la región de Asia Pacífico”, afirma. «Además, también descubrimos que los documentos señuelo que utilizaban para atraer a sus víctimas estaban vinculados a algunas conferencias o reuniones internacionales importantes».

El ataque se produce cuando China parece estar intensificando sus ataques contra gobiernos y empresas en la región de Asia y el Pacífico. Operación Palacio Carmesí, un grupo de tres grupos APT chinos trabajando juntosha comprometido con éxito más de una docena de objetivos en el sudeste asiático, incluidas agencias gubernamentales. En otro caso reciente, un grupo de espías chino utilizó un documento falsificado malicioso para intentar Sistemas de compromiso en el Consejo Empresarial de Taiwán de EE. UU.antes de su 23ª Conferencia Industrial de Defensa entre Estados Unidos y Taiwán.

Spear phishing con una pizca de GeoServer

Los ataques recientes involucran principalmente phishing, en el que se envía un archivo o un enlace y las conferencias regionales sirven como cebo.

«Según los correos electrónicos de phishing, los documentos señuelo y las observaciones de incidentes recopilados, los objetivos parecen ser principalmente agencias gubernamentales, compañías de telecomunicaciones y la industria energética en Filipinas, Corea del Sur, Vietnam, Taiwán y Tailandia», dijo Trend Micro. explica en su análisis. “En particular, también descubrimos un documento simulado en chino simplificado que sugiere que China también se encuentra entre los países afectados. Sin embargo, debido a la información limitada, no podemos determinar exactamente qué sectores en China se ven afectados”.

En un número limitado de casos, Trend Micro ha identificado que el grupo de amenazas explota una falla conocida en el código abierto. Servicio de intercambio de geodatos GeoServer para ganar una cabeza de puente dentro de una organización. Los ataques a GeoServer parecen haber comenzado hace al menos dos meses la Fundación Shadowserver señaló que el ataque apareció por primera vez en sus registros el 9 de julio. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) agregó la vulnerabilidad su catálogo de vulnerabilidades explotadas conocidas (KEV) el 15 de julio.

Independientemente de si se está explotando una vulnerabilidad o se trata de phishing, el siguiente paso es utilizar una de dos técnicas, denominadas inyección GrimResource y AppDomainManager, para comprometer aún más los sistemas de destino.

Descubierto en junio, GrimResource explota una falla de secuencias de comandos entre sitios (XSS) para ejecutar JavaScript en la computadora de la víctima y, junto con una segunda vulnerabilidad, ejecuta código arbitrario. La inyección de AppDomainManager es una técnica más antigua, pero aún no muy conocida, que se puede utilizar para cargar y ejecutar código malicioso y de la que grupos respaldados por el Estado abusan cada vez más. NTT Security explicó en un análisis (a través de Google Translate):.
«Como este método no es muy conocido actualmente, está claro que da a los atacantes una ventaja unilateral», dice el análisis traducido. «Por lo tanto, existe la preocupación de que este tipo de ataques se generalicen en el futuro».

¿Todos los caminos conducen al Cobalt Strike?

En cada caso, un compromiso conduce a una puerta trasera personalizada llamada EagleDoor o a la instalación de un implante a través de una copia pirateada de la herramienta Red Team. Golpe de cobaltoque es ampliamente utilizado entre ciberdelincuentes y grupos de ciberespionaje debido a su poderoso movimiento lateral y capacidades de comando y control (C2).

Además, la ubicuidad de la herramienta significa que los investigadores no obtienen información de atribución a través de su uso, afirma Lee de Trend Micro.

“Aunque su uso puede ser una señal de advertencia, los atacantes suelen modificar sus componentes para evitar ser detectados”, afirma. «Por otro lado, es difícil para los analistas completar la asignación de grupo basada en Cobalt Strike porque es una herramienta común utilizada por muchos grupos diferentes».

El componente Cobalt Strike incluye dos ejecutables, Hook y Eagle, que forman la puerta trasera EagleDoor, que permite la comunicación a través de DNS, HTTP, TCP y Telegram. Los comandos se utilizan para extraer datos del sistema de la víctima e instalar cargas útiles adicionales, explicó Trend Micro en su análisis.