El grupo de ciberespionaje Mustang Panda (también conocido como HoneyMyte) ha sido detectado utilizando un rootkit de modo kernel, anteriormente no documentado, para desplegar una variante avanzada del backdoor TONESHELL. Esta campaña, identificada a mediados de 2025, ha tenido como objetivo principal a organizaciones gubernamentales en el Sudeste Asiático.
El ataque destaca por su alto nivel de sofisticación técnica. Los atacantes utilizan un controlador (driver) firmado con certificados digitales robados o filtrados de empresas legítimas. Al registrarse como un ‘minifilter’ en el sistema operativo, el malware obtiene la capacidad de interceptar operaciones de archivos y registros antes que las soluciones de seguridad convencionales. Una de las capacidades más alarmantes de este rootkit es su facultad para interferir con Microsoft Defender, alterando su prioridad en la pila de entrada/salida para evadir cualquier intento de detección.
Una vez que el rootkit asegura su persistencia, inyecta el backdoor TONESHELL directamente en procesos legítimos del sistema como ‘svchost.exe’. Desde allí, el atacante puede ejecutar comandos remotos, descargar malware adicional, cargar archivos y establecer túneles de comunicación (shell inversa) con sus servidores de control. Debido a que el código se ejecuta principalmente en la memoria, el análisis forense avanzado es fundamental para identificar la infección.
En INGENIERÍA TELEMÁTICA SAS, somos conscientes de que las amenazas persistentes avanzadas (APT) requieren una defensa en profundidad que vaya más allá de las firmas tradicionales. Nuestras soluciones de SOC, EDR/XDR y gestión de infraestructura de Fortinet están diseñadas para detectar comportamientos anómalos y proteger los activos más críticos de su empresa. Si desea fortalecer su postura de seguridad o requiere asesoría en soluciones de protección avanzada, le invitamos a contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es nuestro cliente.
Fuente original: Ver aquí