Un nuevo colectiva piratería peligrosa conocida como Mustang Panda está aprovechando documentos macro-infectadas en todo el mundo a dirigirse a usuarios. La campaña a gran escala parece estar en contra de los sectores público y privado. Por el momento no hay información disponible acerca de las intenciones y la identidad de los hackers.
Los documentos infectados usados por Nuevo grupo de hacking denominada Mustang Panda
Un nuevo grupo de hackers que ha sido desconocido para nosotros hasta ahora se ha encontrado para distribuir diversos documentos macro-infectados contra los usuarios. Los hackers parecen provenir de China y las redes específicas incluyen tanto los usuarios privados y empresas públicas. Los ataques son globales y no se limitan únicamente a China. Lo que sabemos es que el grupo comenzó originalmente para propagar malware año pasado, pero desde entonces ha mejorado sus tácticas para incluir nuevos procedimientos. Algunos de los objetivos confirmados son los siguientes: Centro Chino (organización sin ánimo de lucro), partido y los residentes del sureste de Asia política de Vietnam. Los países que han sido dirigidos incluyen Mongolia, Alemania, Myanmar, Vietnam y Pakistán.
Los piratas informáticos se han centrado en el uso de técnicas de ingeniería social para manipular los objetivos en la apertura de los documentos infectados. Este suele ser el caso de los mensajes de correo electrónico que incluyen secuencias de comandos peligrosas y contenidos. En la mayoría de los casos van a hacerse pasar por empresas o servicios conocidos e incluirán los scripts necesarios. Dependiendo de la técnica exacta de los archivos peligrosos pueden ser unidos o vinculados en los contenidos.
Al final, los objetivos recibirán una archivo zip que contendrá un archivo .lnk el interior que está enmascarado con doble extensión. Si se abre el archivo y se inician los archivos incluidos se instalará el software malicioso relevante. En las campañas de ataque analizados se han producido dos cargas útiles principales que se entregan a las víctimas:
- Huelga de cobalto Beacon - Se trata de una carga peligrosa que puede ser altamente personalizado para diferentes ataques. Comúnmente se utiliza para recoger información a través de Internet y se puede utilizar para la vigilancia de los usuarios de las víctimas. Una gran parte de su funcionalidad se centra en dar a los delincuentes la posibilidad de ejecutar sus propios comandos, recuperar información y datos, así como modificar la configuración del sistema.
- PlugX de Troya - Se trata de un potente troyano que ha sido conocido por nosotros por lo menos durante varios años. Se ha llegado a través de diferentes cambios y versiones y está compuesto por varios módulos. Se puede utilizar para tomar el control de la máquina comprometida y permitir que los controladores de hackers secuestrar la información personal incluyendo uno. Lo que es más peligrosa es la capacidad de espiar a los usuarios en cualquier momento y manipular el sistema en todas las formas posibles.
Este tipo de ataques es probable que continúe en el futuro con una campaña aún más grande. El colectivo penal parece tener los recursos con el fin de orientar este tipo de redes. Anticipamos que puedan utilizar otras tácticas o ampliar su experiencia con la ingeniería social y phishing.
Martin Beltov
Martin se graduó con un título en Edición de la Universidad de Sofía. Como un entusiasta de la seguridad cibernética que le gusta escribir sobre las últimas amenazas y mecanismos de intrusión.
Sígueme: