Un grupo de hackers patrocinado por el estado, conocido como Silk Typhoon, ha estado apuntando a diplomáticos mediante el secuestro de tráfico web y la redirección a sitios web que sirven malware. Los atacantes emplearon una técnica avanzada de ‘adversario en el medio’ (AitM) para comprometer los portales cautivos de la red. Google Threat Intelligence Group (GTIG) rastrea a este actor de amenazas como UNC6384 y lo asocia con el grupo chino TEMP.Hex, también conocido como Mustang Panda.
El ataque comienza cuando el navegador Chrome verifica si está detrás de un portal cautivo, una página web donde los usuarios de una red se autentican antes de conectarse a Internet. Los hackers, al tener la capacidad de interceptar el tráfico web, redirigen a la víctima a una página de destino que imita una actualización de plugin de Adobe.
La víctima descarga un archivo ‘AdobePlugins.exe’ firmado digitalmente, presentado como una actualización necesaria, y se le proporcionan instrucciones paso a paso para evitar las indicaciones de seguridad de Windows durante la instalación. Este archivo ejecuta un instalador de Microsoft Visual C++, pero secretamente descarga un paquete MSI disfrazado (20250509.bmp) que contiene una herramienta legítima de impresora Canon, una DLL (CANONSTAGER) y la puerta trasera SOGU.SEC en formato cifrado RC-4. CANONSTAGER descifra y carga el payload final en la memoria del sistema utilizando la técnica de carga lateral de DLL. SOGU.SEC, una variante del malware PlugX, ampliamente utilizado por varios grupos de amenazas chinos, puede recopilar información del sistema, cargar o descargar archivos y proporcionar a los operadores un shell de comandos remoto.
GTIG ha detectado al menos 25 muestras de malware firmadas por Chengdu Nuoxin Times Technology Co., Ltd desde principios de 2023, asociadas con diversas actividades chinas. Se recomienda tratar todos los certificados de esta entidad como no confiables hasta que la situación se aclare.
Google ha bloqueado los dominios maliciosos y los hashes de archivos a través de Safe Browsing y ha emitido alertas gubernamentales a usuarios de Gmail y Workspace afectados. También ha compartido reglas YARA e Indicadores de Compromiso (IoCs) para la detección de este ataque.
Este ataque demuestra la creciente sofisticación de los actores de espionaje vinculados a China, quienes probablemente cambiarán rápidamente a nueva infraestructura y construcciones binarias.
Fuente original: Ver aquí