El gusano web de China utiliza Discord y Microsoft Graphs para piratear a los gobiernos de la UE
Un actor de amenazas persistentes respaldado por China llamado Webworm está apuntando a organizaciones gubernamentales en toda Europa utilizando mecanismos inusuales de comando y control.
El proveedor de seguridad ESET publicó un estudio esta semana que detalla la actividad reciente en torno a Webworm Grupo APT orientado a China Se informó por primera vez en 2022. Aunque el grupo inicialmente comenzó a apuntar a organizaciones en Asia, Eric Howard de ESET escribió que el actor de amenazas ha cambiado su enfoque a Europa, incluidas organizaciones gubernamentales en Bélgica, Italia, Serbia, España y Polonia. Además, se identificaron otras actividades adicionales en Sudáfrica.
La investigación analiza principalmente las actividades de Webworm entre principios de 2024 y principios de 2025, así como la evolución de sus tácticas, técnicas y procedimientos (TTP) desde 2022. El actor de amenazas inicialmente se basó en familias de malware conocidas como McRat y Trochilus, pero más recientemente se ha centrado en herramientas proxy existentes y personalizadas. En estos casos, observados principalmente en 2024, Webworm recurrió a “herramientas legítimas o semilegítimas como los proxies SOCKS (SoftEther VPN) y otras soluciones de red”.
La desventaja de muchos programas maliciosos tradicionales y conocidos es que generalmente tienen firmas, artefactos y patrones de tráfico que los defensores pueden detectar fácilmente. Pero las herramientas proxy son herramientas de túnel de red que actúan como intermediario entre la víctima y el atacante. Suelen ser más manuales, requieren que el atacante traiga sus propias herramientas y, por lo general, son mucho más sigilosos que la típica puerta trasera.
Sin embargo, en 2025, Webworm introdujo dos nuevas puertas traseras en su repertorio. Uno de ellos es EchoCreep, que utiliza la popular aplicación de chat Discord para facilitar el comando y control (C2). El otro es GraphWorm, que se basa en Microsoft Graph API para C2. ESET también observó que Webworm introdujo malware y herramientas repositorios de GitHub Esto permite a los atacantes descargar fácilmente malware en el ordenador de la víctima.
Discord de Webworm y Microsoft Graph C2
Webworm continúa la tendencia de que los actores de amenazas utilicen enfoques novedosos para facilitar el C2. Los enfoques creativos de C2 observados en los últimos dos años incluyen: Calendario de Google y la solana cadena de bloques.
ESET basó su atribución en descifrar los mensajes de Discord utilizados por EchoCreep para C2, lo que finalmente condujo a un repositorio de GitHub y al descubrimiento de una dirección IP que coincidía con una «IP conocida de gusano web», según Howard. escribió.
La investigación cubre principalmente las actividades de Webworm en 2025, cuando aparentemente abandonó a Trochilus y McRat en favor de las nuevas puertas traseras. La APT china continúa utilizando soluciones proxy para cifrar las comunicaciones, así como para admitir el encadenamiento entre hosts internos y externos a una red. Estas soluciones de proxy incluyen la herramienta de proxy y reenvío de puertos iox, así como las herramientas personalizadas ChainWorm, SmuxProxy, WormFrp y WormSocket.
«Creemos que los operadores están utilizando estas herramientas junto con SoftEther VPN para cubrir mejor sus huellas y aumentar el sigilo de sus actividades», decía la publicación del blog. «Todos los servidores proxy y VPN de Webworm son servidores en la nube que forman parte de la infraestructura de red controlada por Vultr e IT7 Networks. Debido a la cantidad de herramientas proxy y su complejidad, Webworm puede crear una red oculta mucho más grande engañando a las víctimas para que ejecuten sus servidores proxy».
En cuanto a las nuevas puertas traseras, ESET descubrió, al analizar 400 mensajes de Discord, que EchoCreep utiliza el servicio de chat para cargar archivos, enviar informes de tiempo de ejecución y recibir comandos. Webworm también utiliza solicitudes HTTP diseñadas para enrutar las comunicaciones de red a través de la API de Discord. Con GraphWorm, el actor de amenazas confía en los puntos finales de OneDrive para obtener nuevos pedidos y cargar información de las víctimas.
Se utilizan diferentes servidores de Discord para cada víctima de EchoCreep y un directorio de OneDrive diferente para cada víctima de GraphWorm.
Por otra parte, la publicación del blog señaló que el actor de amenazas había «comenzado a usar su solución de proxy personalizada WormFrp para recuperar configuraciones de un depósito de Amazon S3 comprometido», subrayando el compromiso continuo de Webworm para mejorar sus técnicas.
Cómo las empresas pueden acabar con el gusano web
El vector de acceso inicial (así como gran parte de la cadena de ataque) sigue sin estar claro, aunque Howard señaló que Webworm utiliza escáneres de vulnerabilidades de código abierto para escanear archivos y directorios del servidor web en busca de fallas en la red del objetivo. Esto significa que Webworm pudo haber atacado a sus víctimas a través de vulnerabilidades en su entorno y haber implementado puertas traseras después del compromiso.
La publicación del blog de ESET contiene evidencia de compromiso.
En un correo electrónico, Howard le dice a Dark Reading que, si bien no puede decir qué espera China de Europa o de estos entornos de víctimas, Webworm parece estar buscando pivotes o puntos de primera entrada para infiltrarse «tanto como sea posible con fines de actividad de espionaje».
En cuanto a los europeos Las organizaciones pueden hacerEl investigador de ESET hace dos sugerencias. Primero, dado que el descubrimiento de vulnerabilidades parece ser un enfoque clave para Webworm, las organizaciones deberían hacerlo Mantenga los sistemas actualizados y limite la exposición a los activos. En segundo lugar, deben revisar las actividades de comunicación desde procesos y aplicaciones no estándar hasta puntos finales como Discord, Microsoft Graph o S3.
«Las organizaciones también deben ser conscientes de las transferencias de datos a los mismos puntos finales», afirma, «especialmente cuando consideran si no forman parte del flujo de trabajo estándar».
Hemos recibido este contenido de ciberseguridad de: DarkReading
Puedes encontrar la noticia original en el siguiente enlace: https://www.darkreading.com/endpoint-security/chinas-webworm-discord-microsoft-graphs
