es en ca es es pt es es es eo es es en es id en en es pt es es es eo es es en es es es es es es es es es es es es es es gl es es es es es es es es es es fr es en en en es en en en
El grupo de ciberespionaje chino, conocido por centrarse en el sudeste asiático, utilizó las deficiencias de Microsoft Exchange Server, que salieron a la luz a principios de marzo, para implementar una variante previamente no documentada del troyano de acceso remoto (RAT) en sistemas comprometidos.
El equipo de inteligencia de amenazas de 42 Palo Alto Networks atribuyó la violación a un actor de amenazas llamado PKPLUG (también conocido como Mustang Panda y HoneyMyte) y dijo que había identificado una nueva versión del malware modular de PlugX llamado Thor, que se entregó como una herramienta posterior al abuso. a uno de los servidores rotos.
PlugX, que se remonta a 2008, es un implante de segunda etapa con todas las funciones, como carga, descarga y edición de archivos, registro de pulsaciones de teclas, control de cámara web y acceso remoto a shell de comandos.
«Variante cumplida […] es único porque incluye un cambio en su código fuente base: reemplazar su palabra comercial ‘PLUG’ con ‘THOR’ «, dijeron los investigadores de la Unidad 42 Mike Harbison y Alex Hinchliffe en un memorando técnico publicado el martes.
Después de que Microsoft reveló el 2 de marzo que los piratas informáticos con sede en China, cuyo nombre en código era Hafnium, estaban usando errores de día cero en el servidor de Exchange, conocidos colectivamente como ProxyLogon, muchos actores de amenazas, como los grupos de ransomware, robarían datos confidenciales de objetivos seleccionados (DearCry). y Black Kingdom) y pandillas de criptominería (LemonDuck) también se han observado explotando errores para secuestrar servidores de Exchange e instalar un shell web que otorga ejecución de código al más alto nivel de permisos.
PKPLUG ahora se une a la lista, según los investigadores de Unit 42 que descubrieron que los atacantes eluden los mecanismos de detección de antivirus y se dirigen a los servidores de Microsoft Exchange mediante el uso de archivos ejecutables legítimos como BITSAdmin para obtener un archivo aparentemente inofensivo («Aro.dat»). desde el repositorio de GitHub controlado por el actor.
El archivo que almacena la porción de datos cifrados y comprimidos de PlugX menciona una herramienta de optimización y reparación avanzada disponible gratuitamente que está diseñada para limpiar y solucionar problemas en el registro de Windows.
La última muestra de PlugX presenta una serie de complementos que «ofrecen a los atacantes varias opciones para monitorear, actualizar e interactuar con el sistema comprometido para cumplir con sus objetivos», dijeron los investigadores. Las referencias de THOR a PKPLUG provienen de una combinación de infraestructura de comando y control, así como de una superposición en el comportamiento malicioso encontrado entre otros artefactos PlugX descubiertos recientemente.
Los indicadores de compromiso adicionales asociados con el ataque están disponibles aquí. Unit 42 también puso a disposición un script de Python que puede descifrar y desempaquetar cargas útiles cifradas de PlugX sin tener cargadores de PlugX asociados con ellas.
La policía investiga un ‘incidente cibernético’ en el grupo médico de Guernsey
El ransomware GandCrab y el virus Ursnif se propagan a través de macros de MS Word
Investigadores lanzan herramienta que encuentra robots vulnerables en Internet
Nuevo exploit amenaza a más de 9000 enrutadores Cisco RV320 / RV325 hackeables en todo el mundo
El nuevo error de FaceTime permite que las personas que llaman lo escuchen y lo vean sin que usted responda
La policía cerró xDedic: un mercado en línea para los ciberdelincuentes
Deja una respuesta Cancelar la respuesta
Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *
Guarda mi nombre, correo electrónico y web en este navegador para la próxima vez que comente.
Copyright © 2022, cursohacker.es | Aviso legal
Suscríbete a nuestra lista si te interesa recibir turcos exclusivos sobre hacking y seguridad informática