Cybereason revela quiénes son los actores de la amenaza china de ciberespionaje que afecta a los proveedores de telecomunicaciones

DeadRinger destaca los patrones del ataque, que aprovecha los proveedores de servicios de terceros para comprometer múltiples objetivos

Cybereason, compañía líder en protección contra ataques preparada para el futuro, ha anunciado el descubrimiento de varias campañas de ciberataque no identificadas anteriormente que se han infiltrado en los principales proveedores de telecomunicaciones del sudeste asiático. Al igual que en los recientes ataques de SolarWinds y Kaseya, los actores de la amenaza afectaron a proveedores de servicios de terceros, en este caso, proveedores de telecomunicaciones, con la intención de obtener las comunicaciones sensibles de sus clientes.

El informe llega tras la reprimenda pública del Gobierno de Biden al Ministerio de Seguridad del Estado de China por los recientes ataques HAFNIUM, que aprovecharon las vulnerabilidades de los servidores Microsoft Exchange sin parchear y pusieron en peligro a miles de organizaciones de todo el mundo. El aprovechamiento de estas mismas vulnerabilidades ha sido fundamental para el éxito de los ataques detallados en esta investigación.

En el informe, titulado DeadRinger: Identificando las amenazas chinas contra las grandes empresas de telecomunicaciones, se han identificado múltiples grupos de actividad de ataque que han evadido la detección desde al menos 2017 y se considera que son obra de varios grupos prominentes de amenazas persistentes avanzadas (APT) alineados con los intereses del gobierno de China. Cybereason ha observado una importante superposición de tácticas, técnicas y procedimientos (TTP) en las tres operaciones y ha evaluado que los atacantes probablemente tenían objetivos paralelos bajo la dirección de un organismo de coordinación centralizado alineado con los intereses del Estado chino.

«Los ataques son muy preocupantes porque socavan la seguridad de los proveedores de infraestructuras críticas y exponen la información confidencial y de propiedad de organizaciones tanto públicas como privadas que dependen de las comunicaciones seguras para llevar a cabo sus negocios. Estas operaciones de espionaje patrocinadas por un estado no sólo afectan negativamente a los clientes y socios comerciales de las empresas de telecomunicaciones, sino que también tienen el potencial de amenazar la seguridad nacional de los países de la región y de aquellos que tienen intereses en la estabilidad de la región», ha afirmado el director general y cofundador de Cybereason, Lior Div. «Esta es la razón por la que Cybereason mantiene un equipo global de expertos investigadores de inteligencia de amenazas cuyo objetivo es exponer las tácticas, técnicas y procedimientos de los adversarios avanzados para que podamos proteger mejor a las organizaciones de este tipo de ataques complejos, tanto ahora como en el futuro.»

Las revelaciones clave del informe DeadRinger incluyen:

Ataques flexibles, persistentes y evasivos: Los atacantes, altamente flexibles, han trabado diligentemente para ocultar su actividad y mantener la persistencia en los sistemas infectados, respondiendo dinámicamente a los intentos de mitigación después de haber evadido los esfuerzos de seguridad desde al menos 2017, una prueba de que los objetivos son de gran valor para los atacantes.
Compromiso de terceros para alcanzar objetivos específicos: Al igual que en los recientes ataques de SolarWinds y Kaseya, los actores de la amenaza atacaron a terceros, en este caso empresas de telecomunicaciones, con la intención de vigilar a clientes específicos de alto valor de las empresas de telecomunicaciones afectadas.
Aprovechamiento de vulnerabilidades de Microsoft Exchange: Al igual que en los ataques HAFNIUM, los actores de la amenaza han explotado vulnerabilidades recientemente reveladas en los servidores Microsoft Exchange para obtener acceso a las redes objetivo. A continuación, han procedido a comprometer activos de red críticos como los controladores de dominio (DC) y los sistemas de facturación, que contienen información altamente sensible como los datos del registro de detalles de llamadas (CDR), lo que les ha permitido acceder a las comunicaciones sensibles de cualquier persona que utilizara los servicios de telecomunicaciones afectados.
Objetivos de espionaje de alto valor: Sobre la base de los hallazgos anteriores del Informe de la Operación Soft Cell que Cybereason publicó en 2019, así como de otros análisis publicados de operaciones realizadas por estos mismos actores de la amenaza, se evalúa que las telecomunicaciones han sido comprometidas para facilitar el espionaje contra objetivos seleccionados. Es probable que estos objetivos incluyan corporaciones, representantes políticos, funcionarios gubernamentales, agencias policiales, activistas políticos y facciones disidentes de interés para el gobierno chino.
Operaciones en interés de China: Tres grupos distintos de ataques tienen diversos grados de conexión con los grupos APT Soft Cell, Naikon y Group-3390, todos ellos conocidos por operar en interés del gobierno chino. Los solapamientos en las TTP de los atacantes en los grupos son una prueba de la probable conexión entre los actores de la amenaza, lo que respalda la evaluación de que cada grupo tenía objetivos paralelos de vigilancia de las comunicaciones de objetivos específicos de alto valor bajo la dirección de un organismo de coordinación centralizado alineado con los intereses del Estado chino.
Posibilidad de un impacto más amplio: Estos ataques han afectado principalmente a las empresas de telecomunicaciones de los países de la Asociación de Naciones del Sudeste Asiático (ASEAN), pero podrían repetirse contra empresas de telecomunicaciones de otras regiones. Si bien la evaluación predominante es que las operaciones estaban destinadas únicamente al espionaje, el hecho es que, si los atacantes hubieran decidido cambiar sus objetivos de espionaje a interferencia, habrían tenido la capacidad de interrumpir las comunicaciones de cualquiera de los clientes de telecomunicaciones afectados.

El informe completo puede consultarse aquí: DeadRinger: Identificando las amenazas chinas contra las grandes empresas de telecomunicaciones, y le invitamos a seguir un seminario web en directo el jueves 5 de agosto a las 13:00 horas ET / 10:00 horas PT en el que el jefe de investigación de amenazas de Cybereason, Assaf Dahan, y el vicepresidente de prácticas de seguridad, Mor Levi, repasarán las operaciones de espionaje descubiertas en el informe DeadRinger.

Acerca de Cybereason

Cybereason es la solución de los ciberdefensores de hoy en día, proporcionando una protección contra ataques centrada en las operaciones que unifica la seguridad desde el punto de conexión, hasta la empresa, y allí donde se libre la batalla. La plataforma de defensa de Cybereason combina la detección y la respuesta potenciadas por IA (EDR y XDR), el antivirus de última generación (NGAV), la protección contra el ransomware y la caza proactiva de amenazas más importantes del sector para ofrecer un análisis contextual completo de cada elemento de las operaciones malintencionadas. Cybereason es una empresa internacional de capital privado con sede en Boston y clientes en más de 45 países.

Más información en: https://www.cybereason.com/