Volexity detecta otro grupo de ciberamenazas vinculado a China que aprovecha vulnerabilidades de Chrome y Microsoft

In­ves­ti­ga­do­res de Vo­le­xity iden­ti­fi­ca­ron a un grupo de ci­ber­ame­na­zas vin­cu­la­do a China, al que de­no­mi­nan UTA0565, apro­ve­chan­do una ca­de­na de tres vul­ne­ra­bi­li­da­des de día cero en pro­duc­tos de Mi­cro­soft y Chro­me. Dicha ex­plo­ta­ción ocu­rrió antes de que los fa­llos fue­ran re­ve­la­dos o re­ci­bie­ran par­ches, y coin­ci­dió tem­po­ral­men­te con las ac­cio­nes de otros ac­to­res de es­pio­na­je chi­nos. No obs­tan­te, las cam­pa­ñas de UTA0565 se di­fe­ren­cia­ron al em­plear di­ver­sos si­tios web fal­sos para en­ga­ñar a las víc­ti­mas.

Para sus ata­ques, el grupo envió co­rreos de su­plan­ta­ción de iden­ti­dad (phishing) di­ri­gi­dos a en­ti­da­des gu­ber­na­men­ta­les asiá­ti­cas, so­li­ci­tan­do apoyo pú­bli­co para un ac­ti­vis­ta en­car­ce­la­do en Hong Kong. Asi­mis­mo, fal­si­fi­ca­ron do­mi­nios que imi­ta­ban a me­dios y cen­tros de aná­li­sis, y uti­li­za­ron com­po­nen­tes de un kit de ex­plo­ta­ción ya visto en otros gru­pos de pi­ra­te­ría in­for­má­ti­ca chi­nos, lo que su­gie­re una co­la­bo­ra­ción o uso com­par­ti­do de re­cur­sos den­tro de la co­mu­ni­dad de ex­plo­ta­ción de redes del país asiá­ti­co.

Las fa­llas de se­gu­ri­dad in­vo­lu­cra­das com­pren­den pro­ble­mas de eje­cu­ción re­mo­ta de có­di­go en mo­to­res de na­ve­ga­do­res ba­sa­dos en Chro­mium y una vul­ne­ra­bi­li­dad de es­ca­la­da de pri­vi­le­gios en el sis­te­ma Win­dows. Otras fir­mas de se­gu­ri­dad tam­bién de­tec­ta­ron ope­ra­cio­nes si­mi­la­res vin­cu­la­das a múl­ti­ples co­lec­ti­vos es­ta­ta­les y ad­vir­tie­ron sobre el uso de estas fa­llas en un in­ter­va­lo re­du­ci­do.

Como parte de su ac­cio­nar, UTA0565 im­ple­men­tó una carga ma­li­cio­sa per­te­ne­cien­te a una fa­mi­lia de pro­gra­mas da­ñi­nos pre­via­men­te no do­cu­men­ta­da lla­ma­da "CLEANGULP", uti­li­zan­do ade­más di­ver­sos do­mi­nios orien­ta­dos a or­ga­ni­za­cio­nes de me­dios, cor­po­ra­cio­nes de ca­pa­ci­ta­ción y pá­gi­nas de bús­que­da. Según los in­ves­ti­ga­do­res, estas ope­ra­cio­nes re­fle­ja­ron avan­ces téc­ni­cos y ope­ra­ti­vos al in­cor­po­rar con­te­ni­dos reales de si­tios le­gí­ti­mos para mi­ni­mi­zar la sos­pe­cha de los usua­rios.