El actor del nexo chino espía a investigadores estadounidenses sin ser detectado durante un año
Uno prometedor Actor de amenazas en el nexo con China Espió en secreto instalaciones de investigación académica, médica y militar de Estados Unidos durante al menos un año para recopilar información completa.
La campaña, descubierta por Google Threat Intelligence Group (GTIG), se basó en el uso de malware personalizado para robar credenciales de una aplicación web ampliamente utilizada por los investigadores, así como en una técnica novedosa para transferir datos subrepticiamente desde un entorno de TI. GTIG, en colaboración con Mandiant Consulting, filial de Google, descubrió la extensa operación, que tenía como objetivo la red de una única universidad médica con vínculos con el ejército de los EE. UU. y posteriormente afectó a numerosas organizaciones. un informe Publicado el lunes.
Google asignó la campaña a un grupo relativamente nuevo, rastreado como UNC6508 Actor de amenazas aliado de China El objetivo es perseguir objetivos de inteligencia consistentes con los intereses estratégicos de la República Popular China (RPC) apuntando a «un grupo diverso de instituciones médicas nacionales, estatales y privadas», según el informe.
Según los investigadores de GTIG y Mandiant, las organizaciones afectadas por la actividad son en realidad proveedores clínicos de renombre mundial, centros académicos líderes, instalaciones sanitarias militares de América del Norte, grupos de interés profesionales y reguladores de la atención sanitaria.
«Sus áreas de investigación abarcan un amplio espectro de la medicina moderna, desde el descubrimiento molecular y los ensayos clínicos de fármacos hasta la política de salud pública a nivel estatal y la preparación militar», dice el informe. «Emplean a miles de personas con un presupuesto de investigación de miles de millones».
Alcance sorprendente para UNC6508
Patrick Whitsell, ingeniero senior de seguridad de GTIG, le dice a Dark Reading que esto es a pesar de la larga e histórica historia de actores de amenazas en el Nexo de China. Ciberespionaje En cuanto a las organizaciones estadounidenses, el GTIG todavía encontró sorprendente el alcance de los esfuerzos de inteligencia. De hecho, si bien la actividad es “consistente con la historia”. Objetivos de inteligencia de la República Popular China«El amplio alcance de sus criterios de recogida en un solo lugar era muy inusual», afirma.
«El alcance del intento de recopilación incluía estrategias y programas militares, política exterior, tecnología de defensa avanzada, investigación médica y empresas industriales de defensa», dice Whitsell. «Normalmente esperaríamos una colección más enfocada y adaptada a la organización objetivo específica».
GTIG descubrió la primera actividad conocida de la intrusión en septiembre de 2023, cuando el actor de amenazas explotó los servidores externos de la universidad. REDCap (Captura de datos electrónicos de investigación)una aplicación web para la investigación clínica. Luego, UNC6508 implementó un malware personalizado llamado Infinitered para capturar credenciales para REDCap, y la actividad maliciosa continuó de forma continua hasta noviembre de 2025.
Inicialmente, el grupo pasó desapercibido durante más de un año antes de utilizar las credenciales robadas para acceder a la red interna de la víctima. Tres meses después de la intrusión inicial, UNC6508 comprometió aplicaciones web externas, implementó malware personalizado y abusó de herramientas de gestión empresarial para exfiltrar datos de forma encubierta.
«Determinamos que estos datos fueron atacados en función de las palabras clave específicas en las reglas de cumplimiento maliciosas creadas por el atacante», le dice Whitsell a Dark Reading.
La cadena de ataque general durante el período de actividad maliciosa fue la siguiente: Explotación del servidor REDCap; el uso posterior de malware Infinitered para registrar en secreto las credenciales de inicio de sesión y persistir durante las actualizaciones durante más de un año; usar credenciales robadas para acceder a una cuenta de administrador de dominio; la adición de la regla de cumplimiento de contenido malicioso; y reenviar correos electrónicos que coincidan con palabras clave estratégicas a una cuenta controlada por el actor de la amenaza.
Nuevos métodos demuestran desarrollo para actores del nexo con China
La campaña tenía algunas características esperadas de sofisticación. Actividad del nexo en la República Popular Chinacomo el acceso clandestino a largo plazo a la red objetivo, según GTIG. Además, el malware Infinitered se ha diseñado específicamente y solo funciona en servidores REDCap, lo que demuestra «un nivel de ingeniería específica». [that] «Consistente con las tácticas sofisticadas de los actores del nexo con la RPC», dice Whitsell. De hecho, estos actores tienden a «realizar ingeniería inversa estratégica en software y dispositivos especializados cuando se dirigen a entornos de alto valor», afirma.
Sin embargo, otras técnicas mostraron desviaciones del procedimiento estándar para Actores de amenazas respaldados por China. Uno de ellos fue cómo se extrajeron los datos, lo que se hizo utilizando una técnica novedosa y «creativa» que manipula las reglas de cumplimiento del contenido del dominio, dice Whitsell.
«La técnica no está basada en malware ni siquiera en herramientas estándar que 'viven de la tierra', lo que la hace muy difícil de detectar» porque pasa por alto muchos controles tradicionales de seguridad de redes y terminales, le dice a Dark Reading.
UNC6508 también utilizó un enfoque diferente al de otros para ocultar sus actividades maliciosas. Actores respaldados por China. Específicamente, el actor de amenazas utilizó solo direcciones IP de EE. UU. en su red de ofuscación para acceder tanto a los entornos de destino como a la infraestructura del atacante.
«Cuando vemos el uso de la red de ofuscación, las IP utilizadas suelen ser en su mayoría aleatorias», dice Whitsell. «Esto indica una gestión cuidadosa de la seguridad operativa y la comprensión de que los objetivos encontrarían sospechosas las presentaciones de propiedad intelectual no estadounidenses».
Próximos pasos para los defensores
oponentes de China se encuentran entre los grupos patrocinados por el estado más activos Ciberespionaje Según GTIG y Mandiant, cualquier organización que pueda ser un objetivo debe tomar en serio el descubrimiento de la operación. Además de interrumpir la infraestructura maliciosa asociada con UNC6508, Google notificó a las organizaciones afectadas al descubrirlo y ofreció asistencia para solucionarlo. También actualizó sus Operaciones de seguridad de Google (SecOps) con información relevante para que los defensores puedan identificar indicadores de compromiso (IOC) en sus redes.
Además de prestar atención a estas actualizaciones y a los COI, «lo más importante que pueden hacer los defensores» para evitar que las técnicas del actor se vean comprometidos es aplicar medidas resistentes al phishing, Autenticación de dos factores «Absolutamente», dice Whitsell. «Muchos de los ataques que vemos hoy todavía se basan en la reutilización de credenciales comprometidas», afirma.
Otras recomendaciones incluyen monitorear los registros de auditoría para detectar cambios no autorizados en los sistemas y datos de la empresa, permitir que las reglas de DLP alerten cuando se comparten datos confidenciales y garantizar que los sistemas estén completamente actualizados con los últimos parches de seguridad.
Nos llegó este contenido de ciberseguridad de: DarkReading
Llegarás a la noticia original en el enlace que sigue: https://www.darkreading.com/threat-intelligence/china-nexus-actor-us-researchers-undetected
