Actor de amenazas chino vinculado al software espía NSPX30
Un actor de amenazas previamente desconocido con vínculos con China ha sido identificado en una serie de ataques de adversario en el medio (AitM), en los que se explotan solicitudes legítimas de actualización de software para entregar un implante avanzado llamado NSPX30. Los expertos en ciberseguridad están monitoreando este grupo de amenazas persistentes avanzadas (APT), conocido como Blackwood, que supuestamente ha estado operativo desde al menos 2018.
Se observa que el implante NSPX30 se distribuye a través de mecanismos de actualización de software conocido como Tencent QQ, WPS Office y Sogou Pinyin. Los objetivos de estos ataques incluyen empresas manufactureras, comerciales y de ingeniería chinas y japonesas, así como individuos en China, Japón y el Reino Unido.
Descrito como un implante de varias etapas, NSPX30 consta de varios componentes, incluido un gotero, un instalador, un cargador, un orquestador y una puerta trasera; los dos últimos tienen sus propios conjuntos de complementos. El diseño del implante se centra en la capacidad de los atacantes para interceptar paquetes, lo que permite a los operadores NSPX30 ocultar su infraestructura.
Orígenes del malware
Los orígenes de la puerta trasera se remontan a un malware llamado Proyecto Wood de enero de 2005, que fue creado para recopilar información del sistema y de la red, registrar pulsaciones de teclas y capturar capturas de pantalla de los sistemas víctimas. El código base del Proyecto Wood sirvió como base para múltiples implantes, dando lugar a variantes como DCM (también conocido como Dark Spectre) en 2008. Este malware se empleó posteriormente en ataques dirigidos a personas de interés en Hong Kong y el área de la Gran China en 2012 y 2014.
La última versión, NSPX30, se entrega mediante intentos de descargar actualizaciones de software a través del protocolo HTTP (sin cifrar), lo que resulta en un sistema comprometido. Un dropper malicioso, parte del proceso de actualización comprometido, crea archivos en el disco y ejecuta "RsStub.exe", un binario asociado con el software Rising Antivirus. Esto se hace para iniciar "comx3.dll" aprovechando la susceptibilidad del primero a la carga lateral de DLL.
"comx3.dll" sirve como cargador para ejecutar un archivo llamado "comx3.dll.txt", que funciona como una biblioteca de instalación que activa la siguiente etapa de la cadena de ataque. Esta cadena culmina con la ejecución del componente orquestador ("WIN.cfg"). Actualmente se desconoce el método para entregar el gotero en forma de actualizaciones maliciosas, aunque en casos anteriores que involucraron a actores de amenazas chinos, como BlackTech, Evasive Panda, Judgement Panda y Mustang Panda, han utilizado enrutadores comprometidos como medio para distribuir malware.
