Una campaña de ciberespionaje vinculada a China está utilizando un engaño visual para atacar al personal tecnológico y gubernamental de Myanmar. Los atacantes disfrazan un disco duro virtual (VHD) como si fuera una imagen JPEG común, confiando en que las víctimas abrirán el archivo sin sospechar debido a su extensión familiar para desplegar el backdoor QUICAgent.

Una campaña de ciberespionaje vinculada a China está utilizando un truco visual convincente para llegar al personal gubernamental y tecnológico de Myanmar.

Los atacantes presentan un disco duro virtual, o VHD, como una imagen JPEG ordinaria, apostando a que los destinatarios no cuestionarán una extensión de archivo familiar antes de abrirla.

Dentro del disco montado se encuentra lo que parece ser una invitación oficial de graduación en idioma birmano del Departamento de Tecnología de la Información y Seguridad Cibernética de Myanmar.

El documento ofrece una razón creíble para hacer clic, mientras que componentes ocultos comienzan a instalar silenciosamente una herramienta de acceso remoto llamada QUICAgent.

Analistas de Seqrite identificaron la actividad como Operación QUICSILVER y evalúan su conexión con China con una confianza moderada.

Los señuelos relacionados incluyeron un aviso de vacaciones fabricado y un archivo temático de ACMECS, lo que sugiere interés en el personal gubernamental y diplomático. La operación combina funciones rutinarias de Windows con ingeniería social.

Un archivo de imagen falso, un acceso directo con forma de documento y un programa legítimo del sistema pueden hacer que una cadena peligrosa parezca inofensiva, demostrando por qué las campañas de archivos LNK maliciosos siguen siendo un riesgo práctico para las organizaciones seleccionadas.

Seqrite indicó en un informe que los actores dejaron material eliminado en la Papelera de reciclaje del disco virtual.

Los archivos no formaban parte del señuelo entregado, pero las referencias a reuniones de la ASEAN, BIMSTEC, las Naciones Unidas y la diplomacia de Myanmar proporcionan contexto sobre los probables intereses de la operación.

Vinculados a China disfrazan VHD malicioso como JPEG

El archivo inicial lleva un nombre estilo JPEG pero es sustancialmente más grande que una fotografía normal. Cuando los investigadores verificaron su formato real, resultó ser un VHD.

Al abrirlo, se expone un único PDF aparente, completo con un icono de PDF, en lugar de revelar el contenido oculto del disco virtual.

Ese PDF aparente es en realidad un acceso directo de Windows, conocido como archivo LNK. Windows comúnmente oculta las extensiones familiares, por lo que el destinatario ve un nombre de documento creíble en lugar del sufijo final del acceso directo.

Esta táctica refleja otros casos donde los archivos de acceso directo de documentos convertidos en armas transformaron un adjunto de aspecto confiable en el primer paso de una intrusión.

Después de que la víctima haga clic en él, el acceso directo llama a la utilidad firmada de Windows ftp.exe y le indica que ejecute comandos desde un script local.

El script abre la invitación señuelo en primer plano, luego une dos archivos ocultos que se hacen pasar por documentos para reconstruir e iniciar la carga útil real en la carpeta de datos de aplicaciones local del usuario.

La lección es simple: los iconos de archivo y las extensiones mostradas no son una prueba fiable del tipo de archivo.

Tus equipos deberían escudriñar los archivos de imagen de disco inesperados, restringir o monitorear estrechamente el montaje de VHD donde no sea necesario, y entrenar al personal para tratar los documentos no solicitados con especial cuidado, particularmente si el asunto afirma ser oficial o urgente.

QUICAgent utiliza servicios en la nube para su dirección

QUICAgent es un backdoor personalizado de 64 bits escrito en Go que hace una breve pausa y realiza trabajos de hashing repetidos antes de contactar a sus operadores.

Este comportamiento está diseñado para consumir el tiempo limitado disponible en los entornos de análisis automatizados, ayudando al implante a evitar una inspección rápida antes de pasar a la siguiente etapa.

En lugar de mantener su servidor de comandos final directamente en el malware, QUICAgent consulta páginas de Cloudflare Workers para obtener la dirección activa.

Luego se comunica a través de QUIC en el puerto UDP 443 y envuelve su tráfico con cifrado RC4.

Esta disposición en capas facilita los cambios de infraestructura y puede camuflar el tráfico malicioso entre las conexiones web cifradas rutinarias, muy parecido a la tendencia de los backdoors que utilizan servicios confiables.

Una vez establecido, el implante recopila el nombre DNS de la computadora y el nombre de usuario conectado, se reporta cada cinco segundos por defecto, y puede ejecutar comandos, mover archivos, listar directorios o cambiar su intervalo de reporte.

También crea un acceso directo en la carpeta de Inicio del usuario actual para que el backdoor regrese cuando ese usuario inicie sesión.

Tus equipos de seguridad deberían buscar la creación de accesos directos sospechosos en las carpetas de Inicio, actividad inusual de ftp.exe y conexiones QUIC salientes desde endpoints que no tengan una razón comercial para usarlas.

Correlacionar esas señales con la actividad de backdoors de espionaje chinos puede ayudar a los investigadores a distinguir una alerta aislada de una campaña dirigida más amplia. Los indicadores a continuación pueden servir para el bloqueo, la caza y la revisión retrospectiva.

Fuentes:
https://cybersecuritynews.com/china-nexus-hackers/