Un grupo de Amenaza Persistente Avanzada (APT) de origen chino ha sido señalado como responsable del compromiso de una compañía militar con sede en Filipinas, utilizando un framework de malware fileless previamente no documentado llamado EggStreme. Este malware inyecta código malicioso directamente en la memoria y aprovecha el DLL sideloading para ejecutar payloads, permitiendo un espionaje persistente y de bajo perfil. El componente central, EggStremeAgent, es una puerta trasera completa que facilita el reconocimiento extenso del sistema, el movimiento lateral y el robo de datos a través de un keylogger inyectado. El ataque a Filipinas se inscribe dentro de un patrón recurrente de actividades de hacking patrocinadas por el estado chino, intensificado por las tensiones geopolíticas en el Mar de China Meridional. EggStreme consta de múltiples componentes, comenzando con EggStremeFuel que realiza un perfilado del sistema y despliega EggStremeLoader para establecer persistencia. Luego, EggStremeReflectiveLoader dispara EggStremeAgent, el cual funciona monitoreando nuevas sesiones de usuario e inyectando un keylogger (EggStremeKeylogger) para capturar pulsaciones de teclas y otros datos sensibles. Este backdoor se comunica con un servidor C2 mediante el protocolo gRPC y soporta 58 comandos que habilitan una amplia gama de capacidades, incluyendo descubrimiento de red, enumeración del sistema, ejecución de shellcode arbitrario, escalada de privilegios, movimiento lateral, exfiltración de datos e inyección de payload. La técnica de DLL side-loading y la naturaleza fileless del malware complican su detección. En INGENIERÍA TELEMÁTICA SAS, estamos comprometidos con la protección de su infraestructura contra amenazas avanzadas como EggStreme. Si su organización requiere una evaluación de seguridad o necesita fortalecer sus defensas contra ataques APT, no dude en contactarnos a través de nuestro formulario de contacto o mediante sus canales habituales.

Fuente original: Ver aquí