Un operador de telecomunicaciones europeo ha sido víctima de un ataque sofisticado perpetrado por el grupo de ciberespionaje chino Salt Typhoon (también conocido como Earth Estries, FamousSparrow, GhostEmperor y UNC5807). El incidente, detectado en la primera semana de julio de 2025, se inició mediante la explotación de una vulnerabilidad en un dispositivo Citrix NetScaler Gateway, permitiendo el acceso inicial a la red.

Una vez dentro, los atacantes se movieron lateralmente hacia los hosts Citrix Virtual Delivery Agent (VDA) en la subred Machine Creation Services (MCS) del cliente. Para enmascarar su origen, emplearon SoftEther VPN.

El malware Snappybee (también conocido como Deed RAT), sospechoso sucesor de ShadowPad (PoisonPlug), fue desplegado como parte del ataque. Este malware se ejecuta mediante una técnica de DLL side-loading, una táctica común entre los grupos de hackers chinos. Los atacantes lograron instalar el backdoor como un DLL, aprovechándose de archivos ejecutables legítimos de software antivirus como Norton Antivirus, Bkav Antivirus e IObit Malware Fighter.

El malware Snappybee establece comunicación con un servidor externo (aar.gandhibludtric[.]com) a través de HTTP y un protocolo TCP no identificado. Aunque la intrusión fue detectada y remediada antes de que pudiera escalar, este incidente demuestra la persistencia y sofisticación de Salt Typhoon.

Una investigación posterior reveló que el dominio C2 utilizado en el ataque comenzó a resolver a la dirección IP 38.54.63.75 desde el 5 de mayo de 2025. Salt Typhoon utilizó la infraestructura VPS de LightNode, empleando tanto HTTP como un protocolo TCP personalizado para la comunicación. El tráfico HTTP incluyó solicitudes POST con agentes de usuario de Internet Explorer y patrones URI como /17ABE7F017ABE7F0, consistentes con el comportamiento conocido de Salt Typhoon.

En INGENIERÍA TELEMÁTICA SAS, estamos comprometidos con la protección de la infraestructura crítica de nuestros clientes. Si su empresa utiliza Citrix, le recomendamos revisar y parchear las vulnerabilidades conocidas. Si desea más información sobre cómo proteger su red contra amenazas avanzadas como Salt Typhoon, no dude en contactarnos a través de nuestro formulario de contacto o a través de los medios habituales si ya es cliente. Contamos con soluciones robustas de firewall, EDR/XDR, SOC y gestión de infraestructura que pueden ayudarle a fortalecer su postura de ciberseguridad.

Fuente original: Ver aquí