La APT “Evasive Panda” de China introduce el secuestro de nube de alta gama

El equipo de hackers Evasive Panda, patrocinado por China, ha presentado CloudScout, un elegante y profesional conjunto de herramientas post-compromiso que recupera datos de varios servicios en la nube utilizando cookies de sesión web robadas.

Esto es según los investigadores de ESET, que descubrieron CloudScout mientras investigaban dos infracciones anteriores en Taiwán (dirigidas a una institución religiosa y una agencia gubernamental).

CloudScout está escrito en .NET y diseñado para funcionar perfectamente con MgBot, el marco de malware propietario de Evasive Panda. Utilizando una arquitectura de complemento, MgBot alimenta a CloudScout con cookies previamente robadas, que luego utiliza para acceder e inyectar datos desde la nube, utilizando la técnica de pasar la cookie para secuestrar sesiones autenticadas desde navegadores web.

Los investigadores de ESET observaron que los módulos individuales de CloudScout apuntaban a Google Drive, Gmail y Outlook. Sin embargo, en general creen que Evasive Panda ha desarrollado módulos para atacar al menos diez aplicaciones en la nube diferentes.

«Estos módulos están diseñados para acceder a servicios de nube pública… secuestrando sesiones web autenticadas». según análisis de ESETpublicado el 28 de octubre. “Esta técnica se basa en robar cookies de la base de datos de un navegador web y luego usarlas en una serie específica de solicitudes web para obtener acceso a servicios en la nube”, evitando así controles de autenticación como la autenticación de dos factores (2FA). y seguimiento de IP.

Relacionado:Las aplicaciones móviles con millones de descargas exponen las credenciales de la nube

Una vez autenticados, los módulos de CloudScout utilizan una serie de solicitudes web codificadas y analizadores HTML complejos para identificar y extraer todos los datos relevantes de las respuestas web, como listas de carpetas de correo electrónico y mensajes de correo electrónico. Una vez que se recopilan los datos, se comprimen en un archivo ZIP, que luego puede ser filtrado por MgBot u otra puerta trasera patentada llamada Nightdoor.

La APT china mejora el arsenal de ciberespionaje

Evasive Panda (también conocido como Bronze Highland, Daggerfly o StormBamboo) es una amenaza persistente avanzada (APT) que ha estado activa desde al menos 2012 y se centra principalmente en el ciberespionaje contra objetivos de la sociedad civil.

Estos incluyen “movimientos independentistas como los de la diáspora tibetana, Instituciones religiosas y académicas en Taiwán. y en Hong Kong, así como los partidarios de la democracia en China”, señalaron los investigadores de ESET. «En ocasiones también hemos observado que sus operaciones de ciberespionaje se expanden a países como Vietnam, Myanmar y Corea del Sur. También se ha observado que apunta a un puñado de sus víctimas en Nigeria».

La APT china es conocida por su durabilidad. Mayor desarrollo de sus técnicas de ciberataque.pero la última versión destaca por su sofisticación, escribieron los investigadores.

Relacionado:SoftwareOne abre un centro de competencia en la nube en Malasia

Según ESET, «El diseño profesional detrás del marco CloudScout… demuestra las capacidades técnicas de Evasive Panda y el importante papel que desempeñan los documentos, perfiles de usuario y correos electrónicos almacenados en la nube en sus operaciones de espionaje».