El actor de amenazas chino DragonSpark apunta a empresas de Asia oriental
Organizaciones en Taiwán, Hong Kong, Singapur y China han sido atacadas recientemente por un chino actor de amenazas Chispa de cometas. El atacante fue observado fuente abierta Herramienta SparkRAT para sus ataques, según un informe por SentinelOne.
SparkRAT es multiplataforma, rico en funciones y se actualiza con frecuencia con nuevas funciones, lo que hace que el Troyano RAS (RAT) atractivo para los actores de amenazas.
Se ha observado que DragonSpark utiliza el malware Golang, que interpreta el código fuente incrustado de GoLang en tiempo de ejecución como una técnica para evitar el análisis estático y evadir la detección mediante mecanismos de análisis estático.
«Esta técnica inusual proporciona otra forma para que los actores de amenazas evadan los mecanismos de detección ofuscando las implementaciones de malware», señaló SentinelOne.
La infraestructura para entregar las cargas útiles se encuentra en Taiwán, Hong Kong, China y Singapur, algunas de las cuales son propiedad de empresas legítimas. Los servidores de comando y control (C2) están ubicados en Hong Kong y EE. UU., señaló la firma de ciberseguridad.
Vector de asentamiento inicial
Los primeros signos de los ataques de DragonSpark fueron los servidores web comprometidos y los servidores de bases de datos MySQL expuestos a Internet.
SentinetOne descubrió que exponer los servidores MySQL a Internet es una falla de infraestructura que puede conducir a filtraciones de datos, robo de credenciales o movimiento lateral a través de las redes.
En el servidor comprometido, los investigadores observaron el uso de China Chopper Webshell, un webshell comúnmente utilizado por los actores de amenazas chinos.
«Después de obtener acceso a los entornos, el actor de amenazas realizó una variedad de actividades maliciosas como:
Se descubrió que el atacante usaba herramientas de código abierto como SparkRAT, SharpToken, BadPotato y GotoHTTP desarrolladas por desarrolladores o proveedores chinos que hablan chino.
«Además de las herramientas anteriores, el atacante usó dos programas maliciosos especialmente diseñados para ejecutar código malicioso: Shellcode Loader, implementado en Python y entregado como un paquete PyInstaller, y m6699.exe, implementado en Golang», señaló SentinelOne.
La creación de SparkRAT
SparkRAT es un troyano de acceso remoto desarrollado por el desarrollador de habla china XZB-1248. La RAT se desarrolla en Golang y se publica como software de código abierto. Es compatible con los sistemas operativos Windows, Linux y macOS.
SparkRAT utiliza el protocolo WebSocket para comunicarse con el servidor C2 y tiene un sistema de actualización. Esto permite que la RAT se actualice automáticamente a la última versión disponible en el servidor C2 al inicio mediante la emisión de una solicitud de actualización.
«Esta es una solicitud HTTP POST, donde el parámetro de consulta de confirmación guarda la versión actual de la herramienta», señalaron los investigadores.
En los ataques analizados por los investigadores, la versión SparkRAT utilizada se construyó el 1 de noviembre de 2022 y desplegó 26 comandos.
«Debido a que SparkRAT es una herramienta multiplataforma y rica en funciones, y se actualiza regularmente con nuevas funciones, anticipamos que la RAT seguirá siendo atractiva para los ciberdelincuentes y otros actores de amenazas en el futuro», dijeron los investigadores.
DragonSpark también utiliza m6699.exe basado en Golang para interpretar el código fuente codificado en tiempo de ejecución e iniciar un cargador de shellcode. Este cargador de shellcode inicial se pone en contacto con el servidor C2 y ejecuta el cargador de shellcode de la siguiente etapa.
Probablemente un actor de amenazas de habla china
Con base en múltiples indicadores, los investigadores dicen que es muy probable que DragonSpark sea un actor de amenazas de habla china. “Actualmente no podemos vincular DragonSpark con un actor de amenazas específico debido a la falta de indicadores confiables específicos del actor. El actor podría tener motivaciones de espionaje o ciberdelincuencia”, dijeron los investigadores.
En septiembre de 2022, los investigadores observaron que el malware Zegost se comunicaba con el mismo servidor C2 que utiliza DragonSpark. El malware Zegost es un ladrón de información que se ha atribuido a los ciberdelincuentes chinos en el pasado y también se ha observado en campañas de espionaje.
investigación de Servicio Secreto Weibu afirmó que el actor chino de ciberdelincuencia FinGhost usa el malware Zegost y una variante de la muestra utilizada por DragonSpark.
Los investigadores también notaron que la infraestructura de prueba de malware está ubicada exclusivamente en el este de Asia (Taiwán, Hong Kong, China y Singapur), lo cual es común entre los actores de amenazas de habla china que atacan a las víctimas en la región.
«Esta evidencia es consistente con nuestra evaluación de que los ataques de DragonSpark probablemente estén orquestados por un actor de amenazas de habla china», señaló SentinelOne.
Derechos de autor © 2023 IDG Communications, Inc.
Hemos recibido este contenido de ciberseguridad de: CSO Online
Podrás encontrar la noticia original en el enlace que se encuentra a continuación: https://www.csoonline.com/article/3686275/chinese-threat-actor-dragonspark-targets-east-asian-businesses.html#tk.rss_news
