Organizaciones en Taiwán y una organización no gubernamental (ONG) estadounidense con sede en China han sido atacadas por un grupo de piratería patrocinado por el estado afiliado a Beijing llamado Daggerfly que utiliza un conjunto mejorado de herramientas de malware.
La campaña es una señal de que el grupo «también participa en espionaje interno», afirmó el Threat Hunter Team de Symantec, parte de Broadcom, en un nuevo informe publicado hoy. «En el ataque a esta organización, los atacantes explotaron una vulnerabilidad en un servidor HTTP Apache para entregar su malware MgBot».
Daggerfly, también conocido con los nombres de Bronze Highland y Evasive Panda, fue observado anteriormente utilizando el marco de malware modular MgBot en relación con una misión de recopilación de inteligencia dirigida a proveedores de servicios de telecomunicaciones en África. Se sabe que está operativo desde 2012.
El último conjunto de ataques se caracteriza por el uso de una nueva familia de malware basada en MgBot, así como una versión mejorada de un conocido malware de Apple macOS llamado MACMA, que fue expuesto por primera vez por el Grupo de Análisis de Amenazas (TAG) de Google en noviembre de 2021 como distribuido. a través de ataques de abrevadero dirigidos a usuarios de Internet en Hong Kong abusando de las fallas de seguridad en el navegador Safari.
Este desarrollo marca la primera vez que la cepa de malware, que es capaz de recopilar información confidencial y ejecutar comandos arbitrarios, se vincula explícitamente a un grupo de piratas informáticos en particular.
Las conexiones de MACMA con Daggerly también se deben a superposiciones de código fuente entre el malware y Mgbot, y al hecho de que se conecta a un servidor de comando y control (C2) (103.243.212[.]98) que también ha sido utilizado por un MgBot. cuentagotas.
Otro nuevo malware en su arsenal es Nightdoor (también conocido como NetMM y Suzafk), un implante que utiliza la API de Google Drive para C2 y se ha utilizado en ataques de abrevadero dirigidos a usuarios tibetanos desde al menos septiembre de 2023. Los detalles de la actividad fueron documentados por primera vez por ESET a principios de marzo.
El desarrollo se produce cuando el Centro Nacional de Respuesta a Emergencias contra Virus Informáticos (CVERC) de China afirmó que Volt Typhoon, que ha sido atribuido por las naciones de los Cinco Ojos como un grupo de espionaje nexo con China, es una invención de las agencias de inteligencia de EE. UU., describiéndolo como una campaña de desinformación.