Un kit de herramientas recientemente descubierto, llamado DKnife, se ha utilizado desde 2019 para secuestrar el tráfico en dispositivos periféricos y distribuir malware en campañas de espionaje.

Este framework sirve como marco posterior a la vulneración para la monitorización del tráfico y las actividades de adversario en el medio (AitM). Está diseñado para interceptar y manipular el tráfico destinado a los endpoints (computadoras, dispositivos móviles, IoT) en la red.

Investigadores de Cisco Talos afirman que DKnife es un framework ELF con siete componentes basados ​​en Linux, diseñados para la inspección profunda de paquetes (DPI), la manipulación del tráfico, la recolección de credenciales y la distribución de malware.

El malware presenta artefactos del idioma chino simplificado en los nombres de los componentes y los comentarios del código, y se dirige explícitamente a servicios chinos como proveedores de correo electrónico, aplicaciones móviles, dominios multimedia y usuarios de WeChat.

Los investigadores no pudieron determinar cómo se compromete inicialmente el equipo de red, pero descubrieron que DKnife distribuye e interactúa con las puertas traseras ShadowPad y DarkNimbus, ambas asociadas con actores de amenazas chinos. DKnife consta de siete módulos, cada uno responsable de actividades específicas relacionadas con la comunicación con los servidores C2, la retransmisión o alteración del tráfico y la ocultación del origen del tráfico malicioso:

• dknife.bin: responsable de la inspección de paquetes y la lógica de ataque; también informa del estado del ataque, las actividades del usuario y envía los datos recopilados.
• postapi.bin: componente de retransmisión entre DKnife.bin y los servidores C2.
• sslmm.bin: servidor proxy inverso personalizado derivado de HAProxy.
• yitiji.bin: crea una interfaz Ethernet virtual (TAP) en el router y la conecta a la LAN para enrutar el tráfico del atacante.
• remote.bin: cliente VPN peer-to-peer que utiliza el software VPN n2n.
• mmdown.bin: descargador y actualizador de malware para archivos APK de Android.
• dkupdate.bin: componente de descarga, implementación y actualización de DKnife.

Las principales capacidades de DKnife incluyen la entrega de actualizaciones C2 para las puertas traseras, el secuestro de DNS, el secuestro de actualizaciones de aplicaciones Android y descargas binarias, y la entrega de ShadowPad y DarkNimbus. "Las puertas traseras interrumpen selectivamente el tráfico de productos de seguridad y exfiltran la actividad del usuario a servidores C2 remotos", declararon los investigadores en un informe esta semana.

DKnife puede utilizarse para distribuir archivos APK maliciosos a dispositivos móviles o sistemas Windows de la red.

Los investigadores de Cisco observaron que DKnife instalaba la puerta trasera ShadowPad para Windows, firmada con un certificado de una empresa china. A esta acción le siguió la implementación de la puerta trasera DarkNimbus. En dispositivos Android, la puerta trasera es distribuida directamente por DKnife.

En la misma infraestructura asociada con la actividad del framework DKnife, los investigadores también descubrieron que alojaba la puerta trasera WizardNet, que los investigadores de ESET vincularon previamente con el framework Spellbinder AitM.

Además de la distribución de carga útil, DKnife también es capaz de:

• Secuestro de DNS
• Secuestro de actualizaciones de aplicaciones de Android
• Secuestro de binarios de Windows
• Recopilación de credenciales mediante descifrado POP3/IMAP
• Alojamiento de páginas de phishing
• Interrupción del tráfico antivirus
• Monitoreo de la actividad del usuario, incluyendo el uso de aplicaciones de mensajería (WeChat y Signal), el uso de la aplicación de mapas, el consumo de noticias, la actividad de llamadas, el uso de servicios de transporte y las compras.

Las actividades de WeChat se rastrean de forma más analítica, según Cisco Talos, ya que DKnife monitorea llamadas de voz y video, mensajes de texto, imágenes enviadas y recibidas, y artículos leídos en la plataforma.

Los eventos de actividad del usuario se enrutan primero internamente entre los componentes de DKnife y luego se exfiltran mediante solicitudes HTTP POST a puntos finales específicos de la API de comando y control (C2). Dado que DKnife se aloja en dispositivos de enlace y reporta eventos a medida que pasan los paquetes, permite monitorear la actividad del usuario y recopilar datos en tiempo real.

En enero de 2026, los servidores C2 de DKnife seguían activos, según los investigadores. Cisco Talos ha publicado el conjunto completo de indicadores de compromiso (IoC) asociados con esta actividad. 

Fuente: BC