El grupo de ciberespionaje Mustang Panda (también conocido como HoneyMyte) ha sido detectado utilizando un sofisticado rootkit de modo kernel para infectar organizaciones gubernamentales en el sudeste asiático. Este controlador malicioso, denominado ‘ProjectConfiguration.sys’, actúa como un cargador de sigilo para una nueva variante del backdoor TONESHELL, permitiendo a los atacantes mantener persistencia y evadir herramientas de seguridad tradicionales.
El rootkit se registra como un controlador de filtrado de archivos (minifilter) y utiliza un certificado digital robado de una empresa de tecnología para parecer legítimo ante el sistema operativo. Entre sus capacidades más peligrosas se encuentran:
– **Evasión de Antivirus:** El malware interfiere directamente con el controlador de Microsoft Defender, cambiando su prioridad para evitar que escanee las operaciones del rootkit.
– **Autoprotección:** Bloquea cualquier intento de eliminar, renombrar o acceder a sus archivos y claves de registro maliciosas.
– **Inyección de Carga Útil:** Despliega el backdoor TONESHELL directamente en procesos legítimos del sistema (svchost.exe), permitiendo a los atacantes ejecutar comandos remotos, descargar archivos adicionales y establecer shells reversas.
Este incidente subraya la evolución de los actores de amenazas hacia técnicas que operan en los niveles más profundos del sistema operativo, donde muchas soluciones de seguridad convencionales tienen visibilidad limitada. La detección de este tipo de rootkits requiere capacidades avanzadas de análisis forense de memoria y monitoreo de comportamiento en tiempo real.
En INGENIERÍA TELEMÁTICA SAS, contamos con soluciones de EDR/XDR, servicios de SOC y gestión de infraestructura de Microsoft y Fortinet diseñadas para detectar y neutralizar ataques persistentes de nivel kernel. Si desea fortalecer la postura de seguridad de su organización o implementar estrategias robustas de detección ante amenazas avanzadas, le invitamos a contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente nuestro.
Fuente original: Ver aquí