Un grupo de amenazas recientemente identificado con presuntos vínculos con China ha sido detectado atacando servidores web de Internet Information Services (IIS) utilizando un marco de web shell diseñado específicamente para este propósito.

Rastreado como OP-512, este grupo destaca por desplegar herramientas diseñadas para evadir todos los métodos de detección que funcionan contra otros actores similares vinculados a China. El descubrimiento marca una nueva escalada en un patrón creciente de espionaje alineado con el estado contra infraestructuras de servidores heredadas.

Lo que hace que OP-512 sea especialmente alarmante es su paciencia. Los investigadores encontraron pruebas de que el atacante accedió primero al servidor objetivo 75 días antes de que se descubriera la intrusión principal.

En lugar de actuar rápidamente y arriesgarse a ser detectado, el actor esperó y luego regresó para desplegar todo su arsenal en cuestión de horas, una característica distintiva del espionaje patrocinado por el estado.

Analistas de ReliaQuest identificaron este nuevo grupo después de que su sistema de IA Agéntica entrelazara un alto volumen de eventos sospechosos aparentemente no relacionados en un único incidente de alta prioridad.

Expertos en investigación de amenazas revisaron y validaron los hallazgos. El sector y la geografía de la organización afectada coincidían con las prioridades de inteligencia vinculadas a China, lo que dio más peso a la atribución.

ReliaQuest evaluó con una confianza moderada-alta que OP-512 es un actor nuevo y previamente indocumentado.

En el centro de la operación se encuentra un marco de web shell personalizado compuesto por tres archivos maliciosos que otorgan a los atacantes acceso remoto a través de un navegador web.

Cada despliegue es criptográficamente único, lo que significa que las herramientas tradicionales basadas en firmas no pueden detectarlo de manera confiable. Cada instalación genera una huella de archivo completamente diferente, haciendo que muchas defensas comunes sean ineficaces.

El servidor comprometido ejecutaba Windows Server 2016 con una versión de .NET Framework que no ha recibido actualizaciones de seguridad desde 2016.

OP-512 es al menos el cuarto grupo vinculado a China documentado atacando servidores IIS heredados en el último año, confirmando que la infraestructura obsoleta expuesta a Internet sigue siendo un punto de entrada preferido para el espionaje.

Nuevo grupo de amenazas vinculado a China, OP-512, ataca servidores IIS

Una vez dentro del servidor, OP-512 se movió rápidamente para establecer el control. El proceso trabajador del servidor web escribió la primera web shell en un directorio de carga, un administrador de archivos .aspx con un canal de notificación de comando y control integrado.

En cuestión de segundos, codificó su propia URL y transmitió esa ubicación a través de dos canales independientes: una consulta DNS y, como respaldo, una solicitud HTTP a un servidor de respaldo vinculado a la infraestructura conocida de Meterpreter.

Luego se desplegaron dos archivos manejadores de comandos .ashx en el mismo directorio, cada uno generado con una clave criptográfica diferente. Comprometer uno no otorgaba acceso a través del otro.

El sistema fue construido para que cada web shell parezca única, opere de forma segura e informe automáticamente. El atacante podía soltar los archivos y retirarse, sabiendo que su infraestructura rastrearía todo.

El marco también utilizó la técnica de timestomping, donde las marcas de tiempo de los archivos son manipuladas para coincidir con las de archivos legítimos que ya estaban en el servidor.

Un archivo plantado en 2026 fue modificado para que pareciera que existía desde 2022, socavando directamente una técnica forense estándar en la que confían los investigadores para detectar artefactos recién depositados.

Escalada de privilegios y acceso persistente

Con las web shells instaladas, OP-512 cargó cuatro kits de herramientas de explotación directamente en la memoria de proceso del servidor, sin escribir nada en el disco.

Tres provenían de la conocida públicamente "Potato Suite", que abusa de los servicios integrados de Windows para escalar el acceso desde una cuenta de servicio limitada hasta el control total del sistema.

Un cuarto kit apareció en la telemetría como "GhostKit", aunque no existe documentación pública de una herramienta con ese nombre.

La protección del endpoint sí terminó el proceso malicioso cuando se detectó un comportamiento sospechoso. Sin embargo, IIS reinicia automáticamente los procesos trabajadores cuando se detienen, por lo que las herramientas del atacante se recargaron en cuestión de minutos.

La prevención se activó repetidamente pero la intrusión continuó, resaltando una brecha crítica: detener un proceso sin aislar el host solo retrasa, en lugar de detener, a un atacante que opera a través de IIS.

Se recomienda a los defensores retirar o aislar inmediatamente los servidores orientados a internet que ejecuten versiones de .NET framework que hayan llegado al final de su vida útil.

Las organizaciones deben desactivar la ejecución de scripts en los directorios de carga, monitorear los directorios de compilación de ASP.NET en busca de la creación de archivos inesperados y aplicar reglas de firewall de aplicaciones web.

Los equipos de respuesta a incidentes no deben cerrar un caso hasta que el punto de entrada esté confirmado y reparado, ya que eliminar únicamente las web shells no soluciona la vulnerabilidad subyacente.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Vuelve a activarlos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.