Puerta trasera de TinyNote empleada por actor de amenazas chino

Camaro Dragon, un grupo de estado-nación chino, se ha conectado una vez más a una nueva puerta trasera que sirve a sus objetivos de recopilación de inteligencia.

Según la empresa de ciberseguridad israelí Check Point, que nombró al malware TinyNote, funciona como una carga útil inicial capaz de enumerar máquinas básicas y ejecutar comandos a través de PowerShell o Goroutines.

Aunque el malware puede carecer de sofisticación, lo compensa empleando técnicas redundantes para mantener el acceso a los hosts comprometidos, incluidas múltiples tareas de persistencia y diversos métodos de comunicación con varios servidores.

Camaro Dragon se superpone con otro grupo patrocinado por el estado chino llamado Mustang Panda, que ha estado activo desde al menos 2012.

Recientemente, este colectivo llamó la atención con un implante de firmware personalizado conocido como Horse Shell, que transforma los enrutadores TP-Link en una red de malla, lo que permite la transmisión de comandos hacia y desde los servidores de comando y control (C2).

En esencia, el objetivo es ofuscar la actividad maliciosa mediante el uso de enrutadores domésticos comprometidos como infraestructura intermediaria, lo que permite que la comunicación con las computadoras infectadas parezca originarse en un nodo diferente.

Actores de amenazas chinos diversifican su conjunto de herramientas

Estos últimos hallazgos demuestran la creciente sofisticación de las tácticas de evasión y la orientación empleadas por los atacantes, así como la amplia gama de herramientas personalizadas utilizadas para romper las defensas de varios objetivos.

La puerta trasera TinyNote se distribuye utilizando nombres de archivo relacionados con asuntos exteriores, como "PDF_Lista de contactos de miembros diplomáticos invitados", y parece apuntar a embajadas en el sudeste y este de Asia. En particular, esta es la primera instancia conocida de un artefacto Mustang Panda escrito en Golang.

Un aspecto notable de este malware es su capacidad para eludir Smadav, una solución antivirus en Indonesia, lo que indica el alto nivel de preparación de los atacantes y su profundo conocimiento de los entornos de sus víctimas.

Según Check Point, la puerta trasera es una muestra del enfoque específico de Camaro Dragon y el considerable esfuerzo que realizan para infiltrarse en sus objetivos previstos. El uso de la puerta trasera junto con herramientas adicionales con diferentes niveles de avance sugiere que los actores de amenazas están ampliando su arsenal de ataques.

En un descubrimiento separado, ThreatMon descubrió que APT41 (también conocido como Wicked Panda) empleó técnicas de living-off-the-land (LotL) para implementar una puerta trasera de PowerShell usando un ejecutable legítimo de Windows llamado "forfiles".