Investigadores de seguridad han detectado una campaña de intrusión dirigida contra diversas organizaciones gubernamentales de Malasia. Los atacantes utilizaron un método discreto para robar datos, empleando un punto de acceso de almacenamiento alojado en Cloudflare para extraer archivos de los sistemas comprometidos sin activar las alarmas de seguridad.

Los atacantes han encontrado una nueva forma de robar datos silenciosamente de redes comprometidas y, esta vez, se esconden detrás de un rostro familiar.

Investigadores de seguridad han descubierto una campaña de intrusión dirigida que utilizó un punto final de almacenamiento alojado en Cloudflare para extraer archivos robados de sistemas vulnerados sin activar las alarmas.

La operación tuvo como objetivo múltiples organizaciones gubernamentales malayas y al menos una empresa del sector privado, mostrando una planificación que va mucho más allá de lo que suelen demostrar la mayoría de los hackers oportunistas.

Lo que hace que esta campaña destaque es la sofisticación que hay detrás. El atacante no dependió de herramientas comerciales.

En su lugar, crearon scripts de Python personalizados y adaptados a cada objetivo individual, con cada herramienta diseñada para una tarea específica dentro del entorno comprometido.

Ese tipo de trabajo preparatorio requiere una habilidad real y apunta a un actor de amenazas que se toma en serio la disciplina operativa.

Analistas de OASIS Security dijeron en un informe compartido con Cyber Security News (CSN) que la infraestructura controlada por el atacante está alojada en una máquina virtual de Microsoft Azure en la región de Malaysia West.

El descubrimiento permitió a los investigadores tener una visión clara de cómo operaba el atacante, ya que la infraestructura contenía una gran colección de herramientas de ataque que aún no habían sido eliminadas.

La campaña involucró varias piezas móviles, desde el acceso a bases de datos y el mapeo de la red interna hasta el despliegue de webshells en vivo y el robo de credenciales.

Lo que unió todo fue el uso por parte del atacante de un punto final de almacenamiento de Cloudflare como destino final para los archivos robados, diseñado para mezclar el tráfico saliente con la actividad normal de la nube y evadir la monitorización de la red.

El impacto ha sido significativo. Se confirmó el robo de credenciales del controlador de dominio, se encontraron webshells activas en al menos un servidor gubernamental y también se identificó un exploit encadenado dirigido a la plataforma de verificación de clientes de un operador de red móvil.

Estos hallazgos pintan la imagen de un actor con abundantes recursos que trabaja metódicamente en múltiples objetivos a la vez.

Los atacantes utilizan el punto final de almacenamiento de Cloudflare

Una de las partes más ingeniosas de esta campaña fue la forma en que el atacante movió los datos robados fuera de las redes comprometidas.

Se creó un script de Python llamado gen_photo_upload.py específicamente para subir archivos exfiltrados a un punto final de almacenamiento externo alojado en Cloudflare bajo el control del atacante.

Dado que Cloudflare goza de una amplia confianza, el tráfico dirigido hacia él rara vez despierta la misma sospecha que las conexiones a servidores desconocidos.

Esta técnica se denomina a menudo "vivir de servicios confiables" y es cada vez más común entre los actores de amenazas avanzadas.

Al enrutar los datos robados a través de un proveedor de nube legítimo, el atacante hizo que la exfiltración saliente pareciera una actividad web rutinaria.

Para las organizaciones que no inspeccionan detenidamente el tráfico saliente hacia dominios confiables, este canal puede pasar desapercibido durante mucho tiempo.

El script formaba parte de un conjunto de herramientas modulares más amplio, que captura la lógica de transferencia de archivos dirigida al punto final de Cloudflare controlado por el atacante.

Cada script de la colección cumplía un papel específico, formando un pipeline estructurado desde el acceso inicial hasta el robo de datos.

Herramientas de C2 personalizadas y robo de credenciales

Quizás el hallazgo más alarmante fue el descubrimiento de código fuente no publicado previamente, tanto para un generador de balizas (beacons) en C# como para un controlador de comando y control basado en Python.

La baliza, beacon.cs, y el controlador, listener_http.py, no se basan en ningún marco de trabajo disponible públicamente, lo que sitúa a este actor muy por encima del perfil de los atacantes comunes.

La baliza se comunica con el receptor para formar un canal de comando privado entre el atacante y cualquier host comprometido. Su presencia en la infraestructura del atacante sugiere que ha sido utilizada en múltiples operaciones.

Un marco de trabajo desarrollado por uno mismo como este requiere conocimientos y recursos significativos para construirse y mantenerse.

En cuanto a las credenciales, el atacante extrajo archivos de colmena del registro de Windows de al menos un controlador de dominio, incluidos los archivos SAM, SECURITY y SYSTEM.

Un volcado de NTDS confirmó que también se tomaron los hashes de contraseñas de Active Directory. Con esas credenciales, el atacante tiene el potencial de mantener un acceso persistente en toda la red afectada.

Las organizaciones afectadas deben eliminar inmediatamente las webshells activas, restablecer todas las contraseñas a nivel de dominio y revisar cuidadosamente los artefactos dejados por el atacante para cortar cualquier acceso continuo o futuro.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desestabilizados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el enlace directo. Solo vuelve a activarlos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.