Piratas informáticos respaldados por el Estado chino, apuntan a los funcionarios estatales rusos

Investigadores de seguridad que analizan una campaña de phishing dirigida a funcionarios rusos, encontraron pruebas que apuntan al actor de amenazas con sede en China rastreado como Mustang Panda (también conocido como HoneyMyte y Bronze President).

El grupo de amenazas fue visto anteriormente orquestando campañas de recolección de información contra objetivos europeos, empleando señuelos de phishing inspirados en la invasión rusa de Ucrania.

Rusia siempre ha estado en el punto de mira del grupo de amenazas, aunque a una escala limitada, ya que ambos países mantienen generalmente buenas relaciones geopolíticas.

En un informe, la empresa de ciberseguridad Secureworks presenta nuevas pruebas de este tipo de ataques, que podrían no ser tan limitados como se pensaba.

Los actores de la amenaza emplean señuelos de phishing que se basan en documentos en inglés supuestamente publicados por la Unión Europea, que contienen detalles de sanciones contra Bielorrusia.

Aunque los archivos enviados son ejecutables de Windows (.exe), se hacen pasar por PDF y llevan el nombre de una ciudad rusa cercana a la frontera con China, Blagoveshchensk.

Esto sugiere que los objetivos de esta campaña son personal ruso en la región, lo que apoya aún más la teoría de que China puede estar cambiando a nuevos objetivos de recopilación de información.

Aunque Mustang Panda sigue desplegando las mismas cepas de malware y herramientas de carga, y aunque partes de su infraestructura se solapan con campañas anteriores, el actor de la amenaza sigue siendo relativamente sigiloso y potente.

Su objetivo parece ser refrescar los señuelos de spear-phishing y elaborar mensajes de correo electrónico especializados para operaciones de focalización muy estrechas, por lo que la recopilación de información está cambiando constantemente.

Por el momento, el uso de los indicadores de compromiso proporcionados para la defensa del correo electrónico y la red haría que la mayoría de los intentos de infección del actor de la amenaza fueran ineficaces.