Se ha observado que el recién descubierto actor estatal chino conocido como Volt Typhoon lleva activo en la naturaleza desde al menos mediados de 2020, y que su equipo de piratas informáticos utiliza técnicas nunca vistas para obtener acceso remoto a objetivos de interés.
Los hallazgos proceden de CrowdStrike, que está siguiendo al adversario bajo el nombre de Vanguard Panda.
«El adversario empleó sistemáticamente exploits ManageEngine Self-service Plus para obtener el acceso inicial, seguidos de shells web personalizados para el acceso persistente, y técnicas living-off-the-land (LotL) para el movimiento lateral», dijo la compañía de ciberseguridad.
Volt Typhoon, también conocido como Bronze Silhouette, es un grupo de ciberespionaje chino que ha estado vinculado a operaciones de intrusión en la red contra el gobierno de EE.UU., defensa y otras organizaciones de infraestructuras críticas.
Un análisis del modus operandi del grupo ha revelado su énfasis en la seguridad operativa, utilizando cuidadosamente un amplio conjunto de herramientas de código abierto contra un número limitado de víctimas para llevar a cabo actos maliciosos a largo plazo.
Se le ha descrito además como un grupo de amenazas que «favorece los web shells para la persistencia y se basa en ráfagas cortas de actividad que implican principalmente binarios vivos para lograr sus objetivos».
En un incidente sin éxito dirigido a un cliente no especificado, el actor atacó el servicio Zoho ManageEngine ADSelfService Plus que se ejecuta en un servidor Apache Tomcat para desencadenar la ejecución de comandos sospechosos relacionados con la enumeración de procesos y la conectividad de red, entre otros.
Un examen más detallado de los registros de acceso a Tomcat desveló varias solicitudes HTTP POST a /html/promotion/selfsdp.jspx, un shell web que se camufla como la solución de seguridad de identidad legítima para eludir la detección.
Se cree que el intérprete de comandos web se desplegó casi seis meses antes de que se produjera la mencionada actividad con las manos en el teclado, lo que indica un amplio reconocimiento previo de la red objetivo.
Aunque no está claro cómo consiguió Vanguard Panda penetrar en el entorno de ManageEngine, todo apunta a la explotación de CVE-2021-40539, un fallo crítico de omisión de autenticación con ejecución remota de código resultante.
Se sospecha que el autor de la amenaza borró artefactos y manipuló los registros de acceso para ocultar el rastro forense. Sin embargo, en un error flagrante, el proceso no tuvo en cuenta los archivos fuente de Java y los archivos de clase compilados que se generaron durante el ataque, lo que llevó al descubrimiento de más web shells y puertas traseras.