El grupo APT patrocinado por China está apuntando a los departamentos gubernamentales en Estados Unidos.

A Amenaza persistente avanzada (APT) El grupo llamado Flea ha lanzado ataques contra ministerios de Relaciones Exteriores en América del Norte y del Sur con un nuevo ataque. Puerta trasera se llama Graphican, según un informe del equipo Symantec Threat Hunter.

La campaña se desarrolló desde finales de 2022 hasta principios de 2023. También se dirigió a un departamento de finanzas del gobierno en un país de América y a una empresa que vende productos en América Central y del Sur. Según el informe, también hubo una víctima que residía en un país europeo.

Se cree ampliamente que Flea, también conocido como APT15 y Nickel, es un grupo APT patrocinado por China y tiene un historial de localización de objetivos gubernamentales, misiones diplomáticas y embajadas, probablemente con fines de recopilación de inteligencia, dijo Symantec.

Graphican evolucionó a partir de la puerta trasera Ketrican de Flea, que se basaba en un malware anterior: BS2005. Las similitudes en la funcionalidad entre Graphican y Ketrican sugieren que el grupo no tiene mayores preocupaciones sobre la actividad que se le atribuye, dijo Symantec.

«Graphican tiene la misma funcionalidad básica que Ketrican, con la diferencia de que Graphican usa Microsoft Graph API y OneDrive para obtener su infraestructura de comando y control (C&C)», dijo Symantec en el informe.

Las muestras de Graphican analizadas por Symantec mostraron que la puerta trasera no tenía un servidor de comando y control codificado, sino que se conectaba a OneDrive a través de la API de Microsoft Graph para recuperar la dirección del servidor de C&C encriptada de una subcarpeta en la carpeta Personas. Luego, la puerta trasera descifró el nombre de la carpeta y la usó como un servidor C&C para el malware.