ShadowPad Malware desplegado contra objetivos paquistaníes

Un actor de amenazas no identificado ha comprometido una aplicación ampliamente utilizada en Pakistán, lo que resultó en la distribución de ShadowPad, un sucesor de la puerta trasera PlugX asociada con grupos de piratería chinos.

Los objetivos afectados por este ciberataque incluyen una entidad gubernamental, un banco del sector público y un proveedor de telecomunicaciones en Pakistán. Según Trend Micro, los contagios ocurrieron entre febrero y septiembre de 2022.

Trend Micro sugiere que este incidente puede ser el resultado de un ataque a la cadena de suministro, donde una aplicación de software legítima utilizada por las entidades atacadas se manipula para implementar malware capaz de recopilar información confidencial de los sistemas comprometidos.

El ataque involucró a un instalador malicioso de E-Office, un software desarrollado por la Junta Nacional de Tecnología de la Información (NITB) de Pakistán para facilitar las operaciones sin papel en los departamentos gubernamentales.

Vector de ataque aún desconocido

Actualmente se desconoce el método exacto utilizado para entregar el instalador de E-Office comprometido a las víctimas. Sin embargo, hasta el momento no hay evidencia que sugiera que el entorno de construcción de la agencia gubernamental pakistaní involucrada se haya visto comprometido.

Esto plantea la posibilidad de que el autor de la amenaza haya obtenido el instalador legítimo y lo haya modificado para incluir malware. Probablemente atrajeron a las víctimas para ejecutar la versión troyanizada a través de tácticas de ingeniería social.

Como parte del ataque, se agregaron tres archivos al instalador MSI original: Telerik.Windows.Data.Validation.dll, mscoree.dll y mscoree.dll.dat. Entre estos, Telerik.Windows.Data.Validation.dll es un archivo applaunch.exe válido firmado por Microsoft, susceptible de carga lateral de DLL. Esto permite la carga de mscoree.dll, que a su vez carga mscoree.dll.dat, la carga útil que transporta el malware ShadowPad.

Trend Micro señala que las técnicas de ofuscación utilizadas para ocultar la DLL y el descifrado de malware en la etapa final son una evolución de los métodos expuestos anteriormente por Positive Technologies en enero de 2021, vinculado al grupo Winnti (también conocido como APT41), dedicado al ciberespionaje chino. campañas