Un grupo de actividad de estado-nación originario de China ha sido vinculado a ataques cibernéticos a docenas de organizaciones en Taiwán como parte de una supuesta campaña de espionaje. El equipo de Microsoft Threat Intelligence está rastreando la actividad bajo el nombre Flax Typhoon. Las acciones de ciberespionaje son cada vez más frecuentes entre los países.
“Flax Typhoon obtiene y mantiene acceso a largo plazo a las redes de organizaciones taiwanesas con un uso mínimo de malware, confiando en herramientas integradas en el sistema operativo, junto con algún software normalmente benigno para permanecer silenciosamente en estas redes”, dijo la compañía.
Dijo además que no ha observado que el grupo haya utilizado el acceso como arma para llevar a cabo la recopilación de datos y la exfiltración. La mayoría de los objetivos incluyen agencias gubernamentales, instituciones educativas, manufactura crítica y organizaciones de tecnología de la información en Taiwán.
También se ha detectado un número menor de víctimas en el sudeste asiático, América del Norte y África. Se sospecha que el grupo ha estado activo desde mediados de 2021. El enfoque principal del actor gira en torno a la persistencia, el movimiento lateral y el acceso a credenciales, y el actor emplea métodos de vida de la tierra (LotL) y actividad práctica en el teclado para lograr sus objetivos.
El modus operandi está en línea con la práctica de los actores de amenazas de actualizar continuamente sus enfoques para evadir la detección, confiando en las herramientas disponibles en el entorno de destino para evitar descargas innecesarias y creación de componentes personalizados.
El acceso inicial se facilita mediante la explotación de vulnerabilidades conocidas en servidores públicos y la implementación de shells web como China Chopper, seguido del establecimiento de un acceso persistente a través del Protocolo de escritorio remoto (RDP), la implementación de un puente VPN para conectarse a un servidor remoto y la recopilación de credenciales. usando Mimikatz.
Un aspecto digno de mención de los ataques es la modificación del comportamiento de Sticky Keys para iniciar el Administrador de tareas, lo que permite a Flax Typhoon realizar una post-explotación en el sistema comprometido.
El desarrollo se produce tres meses después de que Microsoft expusiera a otro actor vinculado a China llamado Volt Typhoon (también conocido como Bronze Silhouette o Vanguard Panda), que ha sido observado basándose exclusivamente en técnicas de LotL para pasar desapercibido y exfiltrar datos.
Fuente: CiberseguridadLatam.com