El grupo chino APT busca los secretos de Japón

La Agencia Nacional de Policía y el Centro Nacional de Preparación para Incidentes y Estrategia para la Ciberseguridad advirtieron a las organizaciones japonesas sobre una sofisticada operación de ciberespionaje respaldada por el estado chino llamada «MirrorFace» destinada a robar tecnología y secretos de seguridad nacional.

Las autoridades japonesas dijeron que el grupo avanzado de amenazas persistentes (APT) MirrorFace ha estado activo desde 2019.

“Al revelar el modus operandi del ciberataque MirrorFace, el propósito de esta alerta es alertar a las organizaciones, empresarios e individuos específicos sobre las amenazas que enfrentan en el ciberespacio y alentarlos a tomar medidas de seguridad apropiadas para combatir “Para prevenir el daño causado” a «Prevenir la propagación de ciberataques y, en primer lugar, evitar daños», dijo un comunicado de la policía japonesa.

Ciberataques MirrorFace contra Japón

Las autoridades japonesas han identificado tres tipos de ataques MirrorFace. La primera y más sostenida táctica de MirrorFace para robar secretos japoneses fue una elaborada campaña de phishing entre 2019 y 2023 que tenía como objetivo entregar malware a los grupos de expertos, gobiernos y políticos del país, dijo. Advertencia emitida creado por la agencia de policía nacional de Japón y traducido al inglés.

En 2023, MirrorFace se centró en buscar vulnerabilidades en dispositivos de red en los sectores de salud, manufactura, información y comunicaciones, educación y aeroespacial, continuó la policía. MirrorFace aprovechó vulnerabilidades en dispositivos como Fortinet FortiOS y FortiProxy (CVE-2023-28461), Citrix ADC (CVE-2023-27997) y Citrix Gateway (CVE-2023-3519).

Según la policía, alrededor de junio de 2024 comenzó otra campaña de phishing, utilizando tácticas básicas de phishing contra medios de comunicación, grupos de expertos y políticos japoneses. Y desde febrero de 2023 hasta octubre de 2023, se observó que el grupo explotaba una inyección SQL en un servidor público externo para obtener acceso a organizaciones japonesas.

Las revelaciones sobre las actividades de MirrorFace se producen en medio de otros ciberataques patrocinados por China contra la empresa que acaparan los titulares. Empresas de telecomunicaciones estadounidenses y mundialese incluso eso Departamento del Tesoro de EE. UU.llevado a cabo por un grupo colega de la APT, “Salt Typhoon”.

Según Mark Bowling, ex agente especial del FBI y actual director de riesgos y seguridad de la información en ExtraHop, MirrorFace parece operar como una unidad de guerra cibernética del Ejército Popular de Liberación (EPL).

“Desde 2019, MirrorFace APT ha implementado constantemente campañas de phishing bien diseñadas y ha aprovechado códigos/lógicas armados como LODEINFO y MirrorStealer para robar credenciales, escalar privilegios y exfiltrar datos utilizados para posicionar mejor al EPL en el mundo. caso de hostilidades con Japón”, dice Bowling.

A medida que las tensiones geopolíticas continúan aumentando en todo el mundo, Bowling espera ver un aumento en la actividad de APT en especie, particularmente por parte de actores de estados-nación que apuntan a Estados Unidos.

“Las consecuencias de estas tensas relaciones con Ucrania, Taiwán y la continua hostilidad de Irán hacia Israel a través de sus representantes se reflejan cada vez más en campañas digitales agresivas e implacables”, explica Bowling. «No hay duda de que las amenazas de los grupos de estados-nación aumentarán en alcance y complejidad este año, apuntando a nuestra infraestructura crítica, como los servicios públicos, las telecomunicaciones y la atención médica».