¿Cómo se está adaptando tan rápidamente el APT40 de China a los ataques en materia de ciberseguridad?

APT40, grupo hacker con sede en China, destaca por su notable capacidad de adaptación rápida para llevar a cabo ataques de ciberseguridad. Su agilidad y experiencia les permiten sortear las defensas de las organizaciones objetivo, lo que plantea un desafío constante para los profesionales de seguridad de TI.

APT40: Un formidable grupo de espionaje cibernético

Agencias de ciberseguridad de Australia, Canadá, Alemania, Japón, Nueva Zelanda, Corea del Sur, Reino Unido y Estados Unidos han emitido un aviso conjunto sobre un grupo de ciberespionaje vinculado a China, conocido como APT40. Este grupo puede aprovechar los exploits para vulnerabilidades de seguridad recientemente reveladas a las pocas horas o días de su publicación.

Capacidad de transformación rápida

APT40, también llamado Bronze Mohawk, Gingham Typhoon, Kryptonite Panda, entre otros, ha demostrado una capacidad excepcional para transformar rápidamente pruebas de concepto (PoC) de vulnerabilidades en operaciones de focalización, reconocimiento y explotación.

Historia y afiliación

Activo desde al menos 2011, APT40 lleva a cabo ataques dirigidos a entidades en la región de Asia y el Pacífico. En julio de 2021, Estados Unidos y sus aliados atribuyeron formalmente este grupo al Ministerio de Seguridad del Estado (MSS) de China, acusando a varios miembros de una campaña de varios años para robar secretos comerciales e información de alto valor.

Métodos de ataque utilizados

Se sabe que APT40 implementa shells web para establecer persistencia y mantener el acceso al entorno de la víctima. El grupo también utiliza sitios web australianos con fines de comando y control (C2).

• Uso de vulnerabilidades en software público ampliamente utilizado (por ejemplo, Log4j, Atlassian Confluence, Microsoft Exchange).
• Reconocimiento regular de redes específicas.
• Explotación de dispositivos obsoletos o sin parches (routers SOHO, etc.).

Campañas de phishing y ScanBox

En los últimos años, APT40 se ha relacionado con oleadas de intrusiones que utilizan el marco de reconocimiento ScanBox y explotan vulnerabilidades de seguridad en software como WinRAR (CVE-2023-38831) para campañas de phishing dirigidas a Papúa Nueva Guinea.

Compromiso de los servicios institucionales

En marzo, el gobierno de Nueva Zelanda vinculó al APT40 con el compromiso de 2021 de la Oficina del Asesor Parlamentario y de los Servicios Parlamentarios. Esto demuestra el alcance y la eficacia de los ataques orquestados por este grupo.

Recomendaciones para organizaciones

Es crucial que las organizaciones mantengan mecanismos de registro adecuados, apliquen autenticación multifactor (MFA), implementen un sistema sólido de administración de parches, reemplacen equipos al final de su vida útil, desactiven servicios, puertos y protocolos no utilizados y segmenten redes para evitar el acceso a información confidencial. datos.

Fuente: thehackernews.com