El actor chino de amenazas persistentes avanzadas (APT) rastreado como Winnti (también conocido como APT41) atacó al menos a 13 organizaciones repartidas geográficamente por Estados Unidos, Taiwán, India, Vietnam y China en cuatro campañas diferentes en 2021.
Entre los sectores atacados se encuentran el sector público, la industria manufacturera, la sanidad, la logística, la hostelería, la educación, así como los medios de comunicación y la aviación, según la empresa de ciberseguridad Group-IB.
Esto también incluyó el ataque a Air India que se reveló en junio de 2021 en una campaña con el nombre clave de ColunmTK. Las otras tres campañas recibieron los apodos de DelayLinkTK, Mute-Pond y Gentle-Voice, basados en los nombres de dominio utilizados en los ataques.
APT41, también conocido como Barium, Bronze Atlas, Double Dragon, Wicked Panda o Winnti, es un prolífico grupo chino de ciberamenazas conocido por llevar a cabo actividades de espionaje patrocinadas por el Estado junto con operaciones con motivación financiera al menos desde 2007.
Describiendo 2021 como un «año intenso para APT41», los ataques montados por el adversario implicaban principalmente el aprovechamiento de inyecciones SQL en dominios objetivo como vector de acceso inicial para infiltrarse en las redes de las víctimas, seguido de la entrega de una baliza Cobalt Strike personalizada en los puntos finales.
Otras acciones posteriores a la explotación iban desde el establecimiento de la persistencia hasta el robo de credenciales y la realización de reconocimientos utilizando técnicas fuera de la tierra (LotL) para recopilar información sobre el entorno comprometido y moverse lateralmente por la red.
La compañía con sede en Singapur dijo que identificó 106 servidores únicos de Cobalt Strike que fueron utilizados exclusivamente por APT41 entre principios de 2020 y finales de 2021 para el comando y control. La mayoría de los servidores ya no están activos.
Los hallazgos marcan el continuo abuso del marco de simulación del adversario legítimo por parte de varios actores de amenazas para actividades maliciosas posteriores a la intrusión.