Los ámbitos tecnológico, de investigación y gubernamental en la región de Asia-Pacífico han sido objeto de atención por parte de un grupo de amenaza conocido como BlackTech en el marco de una reciente ola de ciberataques.
Estas intrusiones allanan el camino para una versión actualizada de una puerta trasera modular denominada Waterbear, así como para su sucesor mejorado conocido como Deuterbear.
«Waterbear se destaca por su complejidad, ya que emplea diversos mecanismos de evasión para reducir al mínimo las probabilidades de ser detectado y analizado», explicaron los investigadores de Trend Micro Cyris Tseng y Pierre Lee en un análisis la semana pasada.
«En 2022, Earth Hundun empezó a utilizar la última versión de Waterbear, también llamada Deuterbear, que presenta varios cambios, incluidas rutinas de escaneo y desencriptación anti-memoria, lo que nos lleva a considerarlo como una entidad de malware distinta al Waterbear original».
La firma de ciberseguridad está siguiendo los pasos del grupo de amenazas bajo el nombre de Earth Hundun, que se sabe que está activo desde al menos 2007. También se le conoce con otros nombres como Circuit Panda, HUAPI, Manga Taurus, Palmerworm, Red Djinn y Temp.Overboard.
En un aviso conjunto publicado en septiembre pasado, agencias de ciberseguridad e inteligencia de Japón y Estados Unidos atribuyeron al adversario a China, describiendo su habilidad para modificar el firmware de los enrutadores y aprovechar las relaciones de confianza de dominio de los enrutadores para pivotar desde subsidiarias internacionales hasta las sedes corporativas basadas en los dos países.
«Los actores de BlackTech emplean software malicioso personalizado, herramientas con usos duales y tácticas de ocultamiento de operaciones, como la desactivación de registros en los enrutadores», afirmaron los gobiernos.
«Tras lograr un punto de apoyo inicial en una red objetivo y obtener acceso de administrador a los dispositivos de borde de la red, los actores cibernéticos de BlackTech a menudo modifican el firmware para ocultar su actividad en los dispositivos de borde y así mantener la persistencia en la red.»
Una de las herramientas cruciales en su arsenal multifacético es Waterbear (también conocido como DBGPRINT), que ha estado en uso desde 2009 y ha sido consistentemente actualizado a lo largo de los años con características mejoradas de evasión de defensas.
El troyano de acceso remoto central es recuperado de un servidor de comando y control (C2) mediante un descargador, que es lanzado utilizando un cargador que, a su vez, es ejecutado a través de una técnica conocida como carga lateral de DLL.
La versión más reciente del implante admite casi 50 comandos, lo que le permite realizar una amplia gama de actividades, incluyendo enumeración y terminación de procesos, operaciones de archivos, gestión de ventanas, inicio y cierre de consola remota, captura de pantalla y modificación del Registro de Windows, entre otros.
También entregado utilizando un flujo de infección similar desde 2022 está Deuterbear, cuyo descargador implementa una serie de métodos de ofuscación para resistir el análisis anti-malware y utiliza HTTPS para comunicaciones C2.
«Desde 2009, Earth Hundun ha evolucionado y refinado continuamente la puerta trasera Waterbear, así como sus muchas variantes y ramas», dijeron los investigadores.
«El descargador de Deuterbear emplea cifrado HTTPS para la protección del tráfico de red e implementa varias actualizaciones en la ejecución del malware, como modificar la función de desencriptación, verificar la presencia de depuradores o entornos de pruebas y modificar los protocolos de tráfico».
Gracias por apoyar el libre conocimiento con tu donación!
Bitcoin: bc1q4sw9260twfcxatj8mjp7358cyvrf8whzlelyhj
Ethereum: 0xFb93D2a3c9d1A0b83EE629c2dE1725BCa192e581
Litecoin: LbFduJmHvQXcpCnwfUT7aJ4DYoWSL3iQw8
Dogecoin: D7QQVqNR5rk215A4zd2gyzV9P2bLQtZHFV
Transferencia bancaria en México:
Cuenta CLABE: 661610005838513425 Nombre: Masterhacks LATAM Banco: Alternativos
Este sitio web utiliza cookies. Si continuas navegando asumimos que aceptas el uso de cookies.Aceptar
Privacy & Cookies Policy
Privacy Overview
This website uses cookies to improve your experience while you navigate through the website. Out of these cookies, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may have an effect on your browsing experience.
Necessary cookies are absolutely essential for the website to function properly. This category only includes cookies that ensures basic functionalities and security features of the website. These cookies do not store any personal information.
Any cookies that may not be particularly necessary for the website to function and is used specifically to collect user personal data via analytics, ads, other embedded contents are termed as non-necessary cookies. It is mandatory to procure user consent prior to running these cookies on your website.