Un grupo de ciberdelincuentes con vínculos con China, conocido como Flax Typhoon (también rastreado como Ethereal Panda y RedJuliett), ha sido identificado como responsable de una sofisticada campaña que comprometió un sistema ArcGIS. Los atacantes lograron convertir el servidor en un backdoor durante más de un año, demostrando la capacidad de estos grupos para explotar herramientas y servicios legítimos para sus fines maliciosos.

Según un informe de ReliaQuest, Flax Typhoon modificó una extensión de objeto de servidor Java (SOE) de una aplicación de geo-mapeo, transformándola en una web shell funcional. Esta modificación les permitió ejecutar comandos en el servidor interno a través del portal público, dificultando la detección de su actividad. Para asegurar un acceso exclusivo y evitar la manipulación por parte de otros atacantes o administradores, incorporaron una clave codificada.

Además, los atacantes implementaron mecanismos de persistencia que les permitieron sobrevivir a recuperaciones completas del sistema, incrustando su backdoor en las copias de seguridad. Esta estrategia les garantizó un acceso prolongado a la red comprometida.

Flax Typhoon es conocido por emplear técnicas de “living-off-the-land” (LotL), utilizando herramientas y procesos legítimos del sistema para llevar a cabo sus ataques, lo que dificulta aún más su detección. En este caso, cargaron un ejecutable renombrado de SoftEther VPN (“bridge.exe”) en la carpeta “System32” y crearon un servicio llamado “SysBridge” para iniciarlo automáticamente cada vez que se reiniciaba el servidor. Este proceso establecía conexiones HTTPS salientes a una dirección IP controlada por el atacante, creando un canal VPN encubierto que les permitía acceder a la red interna y realizar movimientos laterales, así como la exfiltración de datos.

Los atacantes también apuntaron a las estaciones de trabajo de personal de IT para obtener credenciales y profundizar su acceso a la red, logrando incluso restablecer la contraseña de una cuenta administrativa.

Este incidente subraya la importancia de fortalecer las prácticas de seguridad, incluyendo la gestión de contraseñas y la monitorización del tráfico de red, así como la capacidad de detectar y responder a actividades sospechosas que puedan indicar el uso de herramientas legítimas para fines maliciosos.

Fuente original: Ver aquí