Cuenca de luz

LightBasin , también conocido como UNC1945 por Mandiant , es un presunto grupo chino de ciberespionaje descrito como una amenaza persistente avanzada vinculada a múltiples ciberataques contra empresas de telecomunicaciones. ^{[ 1 ] [ 2 ]} Como amenaza persistente avanzada, busca obtener acceso no autorizado a una red informática y permanecer sin ser detectado durante un período prolongado. Se le ha vinculado con ataques dirigidos a sistemas Linux y Solaris . ^{[ 1 ] [ 2 ]}

El grupo de ciberespionaje LightBasin opera desde 2016. ^{[ 1 ] [ 2 ] [ 3 ]} CrowdStrike afirma que tienen su base en China , aunque se desconoce su ubicación exacta. ^{[ 1 ]} Han atacado a 13 operadores de telecomunicaciones. ^{[ 2 ]}

CrowdStrike afirma que el grupo es inusual por atacar los protocolos y la tecnología de los operadores de telecomunicaciones . ^{[ 1 ]} Según la investigación de CrowdStrike sobre una de estas brechas, LightBasin utilizó servidores externos del Sistema de Nombres de Dominio (eDNS) —que forman parte de la red del Servicio General de Radio por Paquetes (GPRS) y desempeñan un papel en la itinerancia entre diferentes operadores móviles— para conectarse directamente a las redes GPRS de otras compañías de telecomunicaciones comprometidas mediante Secure Shell y a través de implantes previamente establecidos. Muchas de sus herramientas están desarrolladas específicamente para ellos, en lugar de ser herramientas comerciales. ^{[ 1 ]}

Tras comprometer un sistema, instalaron una puerta trasera , conocida como SLAPSTICK, para el módulo de autenticación conectable de Solaris . ^{[ 2 ]} Utilizan TinyShell , un intérprete de comandos que permite controlar y ejecutar comandos mediante solicitudes HTTP a un intérprete web , ^{[ 4 ]} para comunicarse con las direcciones IP de los atacantes. Los scripts se tunelizan a través de un emulador SGSN , que, según CrowdStrike, sirve para mantener la seguridad operativa (OPSEC ). El nodo de soporte GPRS (SGSN) es un componente principal de la red GPRS, que gestiona todos los datos conmutados por paquetes dentro de la red, como la gestión de la movilidad y la autenticación de los usuarios. ^{[ 5 ]} El uso de esta forma de tunelización reduce la probabilidad de que las soluciones de seguridad de la red la restrinjan o inspeccionen. ^{[ 1 ]}

CrowdStrike recomienda que los firewalls que manejan tráfico GPRS se configuren para limitar el acceso al tráfico DNS o al tráfico del protocolo de túnel GPRS. ^{[ 1 ]}

(A partir de octubre de 2025, CrowdStrike actualizó sus hallazgos y reveló que las intrusiones provenían de Liminal Panda, no de LightBasin).

Mandiant afirma que el grupo UNC2891 está asociado con LightBasin. ^{[ 6 ]}