El grupo FamousSparrow, vinculado al estado chino, infiltró una compañía de gas y petróleo de Azerbaiyán. Para lograrlo, aprovecharon un servidor de Microsoft Exchange sin parchear para instalar múltiples puertas traseras en la red. El ataque ocurrió entre finales de diciembre de 2025 y finales de febrero de 2026, siendo una de las intrusiones de APT china más detalladas contra infraestructuras energéticas.

Un grupo  vinculado al estado chino conocido como FamousSparrow se ha infiltrado silenciosamente en una empresa de petróleo y gas azerbaiyana, explotando un servidor de Microsoft Exchange sin parchear para implantar múltiples puertas traseras dentro de la red.

El ataque se llevó a cabo desde finales de diciembre de 2025 hasta finales de febrero de 2026 y se posiciona como una de las intrusiones de APT chinas más detalladas jamás documentadas contra infraestructuras energéticas en el Cáucaso Sur.

El grupo de amenazas no se detuvo en un solo intento. Los atacantes regresaron al mismo servidor Exchange comprometido en tres ocasiones distintas, intercambiando familias de malware entre visitas y ajustando sus tácticas cada vez que los defensores intentaban eliminarlos.

Esa persistencia indica una campaña de espionaje deliberada y sostenida en lugar de una brecha oportunista.

Los investigadores de Bitdefender, que rastrearon la operación a través de las tres olas de actividad, atribuyeron la intrusión a FamousSparrow con una confianza de moderada a alta, señalando un solapamiento significativo con el grupo de amenazas Earth Estries.

El momento no es coincidencia. Azerbaiyán se ha convertido en un proveedor de gas crítico para Europa después de que expirara el acuerdo de tránsito de Rusia con Ucrania en 2024 y de que las interrupciones en el Estrecho de Ormuz a principios de 2026 redujeran las fuentes alternativas de energía.

Hackers APT Chinos Explotan Microsoft Exchange

La operación desplegó dos familias de puertas traseras distintas, Deed RAT y Terndoor, en diferentes etapas. Los atacantes también introdujeron una técnica evolucionada de DLL sideloading diseñada para vencer el análisis de seguridad automatizado, un nivel de sofisticación rara vez visto en campañas anteriores vinculadas a estas familias de malware.

Lo que siguió fue una operación por capas que amplió la comprensión de los analistas sobre el alcance de este grupo en objetivos energéticos.

Los primeros indicios de la intrusión datan del 25 de diciembre de 2025, cuando el proceso worker de Microsoft Exchange IIS intentó escribir una web shell en un directorio accesible públicamente en el servidor.

Esta acción aprovechó la cadena de exploits ProxyNotShell, dos vulnerabilidades rastreadas como CVE-2022-41040 y CVE-2022-41082 que permiten la ejecución remota de código no autenticado en servidores Exchange sin parchear.

En los días siguientes, los atacantes desplegaron web shells adicionales con nombres de archivo como key.aspx, log.aspx, errorFE_.aspx y signout_.aspx. Estas proporcionaron un punto de apoyo fiable para emitir comandos y preparar más cargas útiles.

Posteriormente, se desplegó una cadena de malware de tres componentes utilizando archivos disfrazados de la aplicación legítima LogMeIn Hamachi VPN para reducir las sospechas.

El archivo cargador, LMIGuardianDll.dll, se colocó junto a un binario genuino de LogMeIn y se cargó lateralmente durante el inicio normal. La carga útil de Deed RAT se almacenó en un archivo cifrado llamado .hamachi.lng, descifrado en memoria mediante AES-128 y RC4.

También se creó un servicio de Windows que imitaba a LogMeIn Hamachi para lanzar automáticamente el malware en cada reinicio, asegurando así un acceso persistente.

Evasión Avanzada y Persistencia de Múltiples Olas

Lo que diferencia a esta campaña es la técnica evolucionada de DLL sideloading utilizada para ocultar el cargador de Deed RAT. A diferencia del sideloading típico que activa el código malicioso en el momento en que se carga una DLL, esta versión dividió su lógica en dos funciones de exportación llamadas Init y ComMain.

La carga útil solo se ejecuta después de que la aplicación anfitriona siga una secuencia interna específica de llamadas, lo que significa que un sandbox que examine el archivo de forma aislada no verá ningún comportamiento malicioso.

Este diseño condiciona la infección a una ruta de ejecución legítima. Las herramientas de seguridad que inspeccionan solo partes del código no encuentran nada que señalar, y el comportamiento completo del ataque solo es visible cuando la aplicación se ejecuta exactamente como se espera. Eso hace que esta muestra sea significativamente más difícil de detectar durante el triaje automatizado.

En la segunda ola, el grupo desplegó una puerta trasera llamada Terndoor secuestrando el binario legítimo deskband_injector64.exe. El intento fue bloqueado, pero los artefactos forenses confirmaron que el malware había intentado instalar un controlador del núcleo (kernel driver).

La tercera ola trajo de vuelta un Deed RAT modificado utilizando sentinelonepro[.]com como su dirección de comando y control, suplantando a un conocido proveedor de seguridad para evitar la detección en los registros de red.

Los equipos de seguridad deben aplicar todos los parches de Exchange disponibles y rotar cualquier credencial expuesta sin demora.

El monitoreo debe cubrir la escritura de web shells a través del proceso worker de IIS, binarios no firmados que parchean funciones de la API de Windows en memoria y tráfico HTTPS saliente hacia dominios que suplantan a proveedores de seguridad.

Las sesiones RDP inesperadas que utilicen cuentas de administrador de dominio, seguidas rápidamente por actividad de PowerShell y nuevas descargas de archivos, deben tratarse como alertas de alta prioridad.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
MD5 Hash	0554f3b69d39d175dd110d765c11347a	LMIGuardianSvc.exe — binario legítimo de LogMeIn Hamachi utilizado en la cadena de sideloading de la Ola 1
MD5 Hash	762f787534a891eca8aa9b41330b4108	USOShared.exe — copia renombrada de deskband_injector64.exe utilizada en la Ola 2
Nombre de archivo	LMIGuardianDll.dll	Cargador DLL malicioso cargado lateralmente por LMIGuardianSvc.exe; despliega Deed RAT
Nombre de archivo	.hamachi.lng	Carga útil de Deed RAT cifrada, descifrada en memoria mediante AES-128 + RC4
Nombre de archivo	lmiguardiandll.dll	Variante maliciosa del cargador con mayúsculas/minúsculas alternativas observada en la etapa inicial de explotación de Exchange
Nombre de archivo	key.aspx	Web shell desplegada mediante el exploit ProxyNotShell en el servidor Exchange
Nombre de archivo	log.aspx	Web shell desplegada mediante el exploit ProxyNotShell en el servidor Exchange
Nombre de archivo	errorFE_.aspx	Web shell desplegada mediante el exploit ProxyNotShell en el servidor Exchange
Nombre de archivo	signout_.aspx	Web shell desplegada mediante el exploit ProxyNotShell en el servidor Exchange
Nombre de archivo	winmm.dll	DLL cargadora maliciosa utilizada en la cadena de sideloading de Terndoor en la Ola 2
Nombre de archivo	vmflt.sys	Controlador que el malware Terndoor intentó instalar para persistencia a nivel de núcleo
Nombre de archivo	cache.dat	Contenedor de carga útil asociado al despliegue de Terndoor
Clave de Registro	HKLM\SYSTEM\ControlSet001\Services\vmflt	Entradas de registro creadas por Terndoor para registrar el servicio del controlador del núcleo
Dominio (C2)	virusblocker[.]it[.]com:443	Dirección de comando y control utilizada por la variante de Deed RAT de la Ola 1
Dominio (C2)	sentinelonepro[.]com:443	Dirección de comando y control utilizada por la variante modificada de Deed RAT de la Ola 3
Dominio	ipinfo[.]io	Servicio legítimo contactado por el malware de la Ola 2 para reconocimiento de red
CVE	CVE-2022-41040	Vulnerabilidad de Exchange ProxyNotShell explotada para acceso inicial
CVE	CVE-2022-41082	Vulnerabilidad de Exchange ProxyNotShell explotada para acceso inicial
Valor Mágico	0xFF66ABCD	Valor mágico actualizado del módulo Deed RAT (reemplaza 0xDEED4554 en variantes antiguas)
Ruta de archivo	C:\Recovery	Ruta de almacenamiento de archivos utilizada por los componentes de Deed RAT de la Ola 3
Ruta de archivo	C:\ProgramData\USOShared	Ruta de almacenamiento de archivos utilizada por los componentes de Terndoor de la Ola 2
Ruta de archivo	C:\TEMP\LMIGuardianSvc.exe	Ruta de preparación inicial para el cargador Deed RAT de la Ola 1
Ruta de archivo	C:\Program Files (x86)\LogMeIn Hamachi\	Ruta de instalación final que imita el software legítimo de LogMeIn Hamachi

Nota: Las direcciones IP y los dominios han sido deshabilitados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Solo debes volver a habilitarlos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/chinese-apt-hackers-exploit-microsoft-exchange/