El grupo de ciberdelincuentes, Hafnium, respaldado por China, ha sido vinculado a una pieza de un nuevo malware que se utiliza para mantener la persistencia en entornos Windows comprometidos.
Se dice que el actor de la amenaza se dirigió a entidades de los sectores de telecomunicaciones, proveedores de servicios de Internet y servicios de datos, entre agosto de 2021 y febrero de 2022, ampliando los patrones victimológicos iniciales observados durante sus ataques que explotaban los fallos de día cero de los servidores Microsoft Exchange, en marzo de 2021.
El Centro de Inteligencia de Amenazas de Microsoft (MSTIC), que bautizó el malware de evasión de defensas como «Tarrask», lo caracterizó como una herramienta que crea tareas programadas «ocultas» en el sistema. «El abuso de las tareas programadas es un método muy común de persistencia y evasión de la defensa – y uno tentador, por cierto», dijeron los investigadores.
Hafnium, aunque es más notable por los ataques a Exchange Server, ha aprovechado desde entonces vulnerabilidades de día cero no parcheadas como vectores iniciales para dejar caer web shells y otro malware, incluyendo Tarrask, que crea nuevas claves de registro dentro de dos rutas Tree y Tasks al crear nuevas tareas programadas.
«Los ataques ponen de manifiesto cómo el actor de la amenaza Hafnium muestra un conocimiento único del subsistema de Windows y utiliza esta experiencia para enmascarar las actividades en los puntos finales seleccionados para mantener la persistencia en los sistemas afectados y ocultarse a la vista», afirmaron los investigadores.