Un sofisticado grupo vinculados a China ha sido detectado atacando routers de borde en el sudeste asiático. Para lograrlo, utilizan un implante de Linux personalizado que les otorga un control profundo sobre el tráfico de red. Esta campaña ha sido calificada con una severidad crítica, ya que su impacto se extiende más allá de los dispositivos inicialmente comprometidos mediante la instalación de un archivo malicioso denominado router.elf.

Un sofisticado grupo de hackers vinculado a China ha sido detectado atacando routers de borde en todo el sudeste asiático, desplegando un implante de Linux hecho a medida que les otorga un control profundo sobre el tráfico de red.

La campaña ha sido calificada con una severidad crítica, y su alcance se extiende mucho más allá de los dispositivos iniciales que compromete. Los atacantes instalan un archivo malicioso llamado router.elf directamente en los routers perimetrales, convirtiéndolos en puestos de vigilancia silenciosos.

Una vez dentro, el implante se conecta silenciosamente a servidores controlados por el atacante mediante un canal cifrado, lo que hace que sea muy difícil para las herramientas de seguridad estándar detectar la actividad. La campaña está diseñada para pasar totalmente desapercibida ante las defensas de los endpoints.

Analistas de Qiita identificaron la intrusión y señalaron que la campaña refleja una clara decisión estratégica de atacar la infraestructura de red en lugar de computadoras individuales.

Al tomar el control del router, los atacantes se posicionan para monitorear y manipular cada dispositivo que se conecte a través de él. Esto hace que esta amenaza sea mucho más peligrosa que una infección de malware típica.

Lo que hace que esta operación sea especialmente alarmante es su enfoque dual. El mismo grupo que comprometió los routers también desplegó una herramienta de hackeo independiente en computadoras con Windows dentro de las mismas redes, utilizando una técnica conocida como DLL sideloading.

Ambas líneas de ataque comparten la misma infraestructura de comando, confirmando que un único actor de amenazas bien coordinado está ejecutando toda la operación.

Qiita afirmó en un informe compartido con Cyber Security News (CSN) que múltiples pistas apuntan fuertemente a un origen basado en China.

Estas incluyen cadenas de lenguaje mandarín enterradas dentro del código del implante, una configuración de idioma predeterminada de zh-CN en su perfil de comunicación y el uso de una herramienta de hackeo crackeada con un ID de licencia vinculado consistentemente a operaciones relacionadas con China.

Cómo el Implante Toma el Control de los Routers de Borde

Una vez que router.elf está instalado y ejecutándose, establece una conexión persistente con los servidores del atacante a través de tráfico HTTPS cifrado en el puerto 443.

Para evitar ser detectados por las herramientas de monitoreo de DNS, enruta sus búsquedas de dominio a través del servicio DNS over HTTPS de Cloudflare, que envuelve las solicitudes dentro de tráfico web con apariencia normal. Esta es una técnica de evasión deliberada que ayuda al implante a permanecer oculto durante largos períodos.

El malware también planta reglas de firewall directamente en el router utilizando una herramienta de Linux integrada llamada iptables. Estas reglas redirigen silenciosamente todas las consultas DNS de cada dispositivo detrás del router hacia servidores que los atacantes controlan.

Eso significa que los hackers pueden manipular qué sitios web creen los usuarios que están visitando, interceptar actualizaciones de software y dirigirse a destinos específicos utilizando una lista dinámica llamada evil_fix.

Se instala una puerta trasera secundaria llamada client_rc_start junto al implante principal para asegurar el acceso continuo incluso si la carga útil primaria es eliminada.

Endpoints de Windows Atrapados en el Fuego Cruzado

La campaña no se detiene en el nivel del router. El grupo de amenazas extendió su alcance a computadoras con Windows dentro de las mismas redes plantando un Cobalt Strike Beacon, un marco de hackeo muy conocido, a través de DLL sideloading.

Se deposita un archivo malicioso llamado version.dll en una carpeta bajo CrashReport.exe, y cuando el proceso legítimo se ejecuta, carga sin saberlo la carga útil del atacante junto a él.

El Beacon se conecta a los mismos dominios de comando y control que el implante del router, utilizando patrones de tráfico web idénticos, marcadores de cookies y el mismo tiempo de espera de cincuenta segundos entre comprobaciones.

Esta estrecha alineación entre ambas herramientas de ataque confirma que ninguna fue desplegada de forma aislada. El mismo atacante controla ambas, trabajando juntas como parte de un esfuerzo de espionaje coordinado.

Se insta a los equipos de seguridad a auditar inmediatamente todos los routers de borde en busca de reglas de firewall no autorizadas, especialmente cualquier regla que redirija el tráfico DNS a direcciones IP desconocidas.

Todos los dominios y direcciones IP enumerados deben bloquearse en el firewall perimetral sin demora. Los dispositivos de red basados en Linux deben ser escaneados en busca de router.elf y client_rc_start, mientras que las máquinas Windows deben ser revisadas en busca del archivo malicioso version.dll y cualquier proceso CrashReport.exe que se ejecute desde la carpeta del perfil AllUsers.

A largo plazo, las organizaciones deben implementar un monitoreo de la integridad del firmware en los dispositivos de red, restringir el acceso de gestión mediante autenticación multifactor y configurar alertas para cualquier cambio en las reglas de firewall de routers y puertas de enlace.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Nombre de archivo	router.elf	RAT principal de router Linux (implante personalizado)
Hash MD5	6401cdc783b4afcbcc294954b4cc5dd2	Hash MD5 de router.elf
Hash SHA-256	6a43de021fa79dc3eb5f6ed509b605ef617f56af7de8b136698e5dd86c7775ae	Hash SHA-256 de router.elf
Nombre de archivo	client_rc_start	Puerta trasera secundaria del router para persistencia redundante
Hash MD5	92ED4D259940D4294190E60ADD5CC587	Hash MD5 de client_rc_start
Nombre de archivo	version.dll	Carga útil de DLL sideload de Cobalt Strike Beacon
Hash MD5	20C196FD5CF9A4845D048006321A52B8	Hash MD5 de version.dll
Dominio	contextlayerrun.com	Dominio C2 del implante del router
Dominio	specialclouds.com	Dominio C2 de Cobalt Strike Beacon
Dominio	specialclouds.top	Dominio C2 de Cobalt Strike Beacon
Dominio	namefilecode.com	Dominio C2 de Cobalt Strike Beacon
Dominio	valuecode.top	Dominio C2 asociado
Dominio	windowsweatherkb.top	Dominio C2 asociado
Dominio	function.windowsoftmessages.com	Dominio C2 asociado
Dominio	perfectgo.top	Dominio C2 asociado
Dominio	safelyhome.top	Dominio C2 asociado
Dominio	discovercoded.com	Dominio C2 asociado
Dirección IP	8.211.130.16	Servidor C2 (puerto 443)
Dirección IP	8.213.217.130	Resolutor DNS malicioso, primario (puerto 8090)
Dirección IP	47.81.37.109	Resolutor DNS malicioso, respaldo (puerto 8090)
Dirección IP	23.254.129.112	Nodo de redirección de tráfico (objetivo ipset)
Patrón URI	/api/v1/get	URI de sondeo C2 utilizada tanto por el implante como por el Beacon
Patrón URI	/api/v1/post	URI de exfiltración C2 utilizada tanto por el implante como por el Beacon
Nombre ipset	evil_fix	Nombre de ipset malicioso en routers comprometidos para el secuestro de tráfico dirigido
Marcador Cookie	UK=	Cookie de metadatos de solicitud GET utilizada en el perfil C2
Marcador Cookie	ZF=	Cookie de sesión de solicitud POST utilizada en el perfil C2

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el enlace. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/china-linked-hackers-target-southeast-asian-edge-routers/