Panda numerado

Trend Micro informó sobre una campaña contra gobiernos de Asia Oriental, fabricantes de productos electrónicos y una empresa de telecomunicaciones. ^{[ 5 ]} Numbered Panda participó en campañas de correo electrónico de spear phishing con archivos adjuntos maliciosos. ^{[ 5 ]} A menudo, los archivos adjuntos de correo electrónico maliciosos eran archivos PDF que explotaban vulnerabilidades CVE - 2009-4324 , CVE- 2009-09274 , CVE- 2011-06095 o CVE -2011-0611 en Adobe Acrobat , Adobe Reader y Flash Player . ^{[ 5 ]} Los atacantes también utilizaron un exploit que afectaba a Microsoft Excel : CVE - 2009-3129 . ^{[ 5 ]} El malware Ixeshe utilizado en esta campaña permitió a Numbered Panda listar todos los servicios, procesos y unidades; terminar procesos y servicios; descargar y cargar archivos; iniciar procesos y servicios; obtener los nombres de usuario de las víctimas; obtener el nombre de una máquina y el nombre de dominio ; descargar y ejecutar archivos arbitrarios; hacer que un sistema se pause o duerma durante un número específico de minutos; generar un shell remoto ; y listar todos los archivos y directorios actuales. ^{[ 5 ]} Después de la instalación, Ixeshe comenzaría a comunicarse con servidores de comando y control ; a menudo se codificaban tres servidores para redundancia. ^{[ 5 ]} Numbered Panda a menudo usaba servidores comprometidos para crear estos servidores de comando y control para aumentar el control de la infraestructura de red de una víctima. ^{[ 5 ]} Usando esta técnica, se cree que el grupo había acumulado sesenta servidores para 2012. ^{[ 5 ]} La mayoría de los servidores de comando y control utilizados en esta campaña estaban ubicados en Taiwán y los Estados Unidos. ^{[ 5 ]} Se usó Base64 para la comunicación entre la computadora comprometida y el servidor. ^{[ 5 ]} Trend Micro descubrió que, una vez decodificada, la comunicación era una estructura estandarizada que detallaba el nombre de la computadora, la dirección IP local , la IP y el puerto del servidor proxy y la ID del malware. ^{[ 5 ]} Investigadores de CrowdStrike descubrieron que los blogs y los sitios de WordPress se usaban con frecuencia en la infraestructura de comando y control para hacer que el tráfico de red pareciera más legítimo. ^{[ 2 ]}

Un informe de Arbor Security reveló que Numbered Panda inició una campaña contra Japón y Taiwán utilizando el malware Etumbot en 2011. ^{[ 3 ]} De forma similar a la campaña observada anteriormente, los atacantes utilizaban archivos señuelo, como PDF, hojas de cálculo de Excel o documentos de Word , como archivos adjuntos de correo electrónico para acceder a los ordenadores de las víctimas. ^{[ 3 ]} La mayoría de los documentos observados estaban escritos en chino tradicional y generalmente se referían a intereses del gobierno taiwanés; varios de los archivos estaban relacionados con próximas conferencias en Taiwán. ^{[ 3 ]} Una vez que la víctima descargaba y extraía el archivo malicioso, Etumbot utilizaba una vulnerabilidad de anulación de derecha a izquierda para engañarla y que descargara el instalador del malware. ^{[ 3 ]} Según Arbor Security, esta técnica es una forma sencilla para que los creadores de malware disfracen los nombres de los archivos maliciosos. Un carácter Unicode oculto en el nombre del archivo invierte el orden de los caracteres que le siguen, de modo que un archivo binario .scr parece ser un documento .xls, por ejemplo. ^{[ 3 ]} Una vez instalado el malware, envía una solicitud a un servidor de comando y control con una clave RC4 para cifrar la comunicación posterior. ^{[ 3 ]} Al igual que con el malware Ixeshe, Numbered Panda utilizó caracteres codificados en Base64 para comunicarse desde las computadoras comprometidas a los servidores de comando y control. ^{[ 3 ]} Etumbot puede determinar si la computadora objetivo está utilizando un proxy y omitirá la configuración del proxy para establecer una conexión directa. ^{[ 3 ]} Después de que se establece la comunicación, el malware enviará un mensaje cifrado desde la computadora infectada al servidor con el nombre NetBIOS del sistema de la víctima, el nombre de usuario, la dirección IP y si el sistema está utilizando un proxy. ^{[ 3 ]}

Después de que el informe de Arbor Security de mayo de 2014 detallara Etumbot, FireEye descubrió que Numbered Panda cambió partes del malware. ^{[ 1 ]} FireEye notó que los protocolos y cadenas usados ​​previamente fueron cambiados en junio de 2014. ^{[ 1 ]} Los investigadores de FireEye creen que este cambio fue para ayudar al malware a evadir una mayor detección. ^{[ 1 ]} FireEye nombró a esta nueva versión de Etumbot HighTide. ^{[ 1 ]} Numbered Panda continuó atacando a Taiwán con campañas de correo electrónico de spear phishing con archivos adjuntos maliciosos. ^{[ 1 ]} Los documentos adjuntos de Microsoft Word explotaron la vulnerabilidad CVE - 2012-0158 para ayudar a propagar HighTide. ^{[ 1 ]} FireEye descubrió que las cuentas de correo electrónico comprometidas de empleados del gobierno taiwanés se usaron en algunos de los spear phishing. ^{[ 1 ]} HighTide difiere de Etumbot en que su solicitud HTTP GET cambió el agente de usuario, el formato y la estructura del identificador uniforme de recursos HTTP , la ubicación del archivo ejecutable y la dirección base de la imagen. ^{[ 1 ]}

Se cree que Numbered Panda es responsable de la violación de la red informática en The New York Times a finales de 2012. ^{[ 6 ] [ 4 ]} El ataque ocurrió después de que The New York Times publicara un artículo sobre cómo los familiares de Wen Jiabao , el sexto Primer Ministro del Consejo de Estado de la República Popular China , "acumularon una fortuna de varios miles de millones de dólares a través de negocios". ^{[ 4 ]} Se cree que las computadoras utilizadas para lanzar el ataque son las mismas computadoras universitarias utilizadas por el ejército chino para atacar a contratistas militares de Estados Unidos . ^{[ 4 ]} Numbered Panda utilizó versiones actualizadas de los paquetes de malware Aumlib e Ixeshe. ^{[ 6 ]} La versión actualizada de Aumlib permitió a Numbered Panda codificar el cuerpo de una solicitud POST para obtener la BIOS , la IP externa y el sistema operativo de la víctima . ^{[ 6 ]} Una nueva versión de Ixeshe alteró el patrón de tráfico de red de la versión anterior en un esfuerzo por evadir las firmas de tráfico de red existentes diseñadas para detectar infecciones relacionadas con Ixeshe. ^{[ 6 ]}