Double Dragon (también conocido como APT41 , BARIUM , Axiom , Winnti , Wicked Panda , Wicked Spider, [1] TG-2633 , Bronze Atlas , Red Kelpie , Blackfly , [2] o Brass Typhoon [3] ) es una organización de piratería con presuntos vínculos con el Ministerio de Seguridad del Estado de China (MSS). [4] Clasificada como una amenaza persistente avanzada , la organización fue nombrada por el Departamento de Justicia de los Estados Unidos en septiembre de 2020 en relación con los cargos presentados contra cinco ciudadanos chinos y dos malasios por supuestamente comprometer a más de 100 empresas en todo el mundo. [5] [6] [7] [8]
En 2019, la empresa de ciberseguridad FireEye declaró con gran certeza que el grupo estaba patrocinado por el Partido Comunista Chino (PCCh) mientras realizaba operaciones para obtener ganancias financieras. [9] El nombre "Double Dragon" se origina de la dualidad de su operación, ya que se dedican al espionaje y al beneficio económico individual. [10] Los dispositivos que utilizan suelen utilizarse para inteligencia patrocinada por el estado.
Las investigaciones realizadas por FireEye han descubierto que APT 41 opera en múltiples sectores, como la atención sanitaria, las telecomunicaciones y la tecnología. [9] El grupo lleva a cabo muchas de sus actividades financieras en la industria de los videojuegos, incluidos estudios de desarrollo, distribuidores y editores. [11]
En sus actividades anteriores, APT 41 ha utilizado dominios registrados con los apodos "Zhang Xuguang" ( chino simplificado : 张旭光) y "Wolfzhi". Estos personajes en línea están asociados con las operaciones de APT 41 y foros específicos en chino en línea, aunque se desconoce el número de otras personas que trabajan para el grupo. [9] "Zhang Xuguang" tiene actividad en el foro en línea Chinese Hackers Alliance (chino simplificado: 华夏黑 客同盟). La información relacionada con este individuo incluye su año de nacimiento, 1989, y su antigua residencia en Mongolia Interior de la República Popular de China. [12] El personaje también ha publicado en un foro sobre el juego en línea Age of Wushu , usando el apodo "injuriesa" en 2011. [9] Los correos electrónicos y los dominios en línea asociados con "Wolfzhi" también conducen a un perfil de la comunidad de ciencia de datos. Las publicaciones en el foro también sugieren que el individuo es de Beijing o de la provincia cercana, Hebei . [9] [12]
El FBI ha emitido carteles de búsqueda para Haoran Zhang, Dailin Tan, Chuan Qian, Qiang Fu y Lizhi Jiang, a quienes han encontrado vinculados con APT 41. [1] Zhang y Tan fueron acusados el 15 de agosto de 2019 por el Gran Jurado en el Distrito de Columbia por cargos asociados con delitos de piratería, como acceso no autorizado a computadoras protegidas, robo de identidad agravado, lavado de dinero y fraude electrónico. [13] Estas acciones se llevaron a cabo en empresas de alta tecnología, empresas de videojuegos y seis personas anónimas de los Estados Unidos y el Reino Unido mientras los dos trabajaban juntos. El FBI también acusó a Qian, Fu y Jiang el 11 de agosto de 2020 por crimen organizado , lavado de dinero, fraude y robo de identidad . [13] Los tres individuos formaban parte del equipo de gestión de la empresa Chengdu 404 Network Technology, donde los tres y sus compañeros de trabajo planearon ciberataques contra empresas e individuos en industrias como las comunicaciones, los medios de comunicación, la seguridad y el gobierno. [14] Se esperaba que tales operaciones se llevaran a cabo en países como Estados Unidos, Brasil, Alemania, India, Japón, Suecia, Indonesia , Malasia , Pakistán , Singapur, Corea del Sur , Taiwán y Tailandia . [1]
En agosto de 2020, Wong Ong Hua y Ling Yang Ching fueron acusados de extorsión, conspiración, robo de identidad, robo de identidad agravado y fraude, entre otros. [1] El Departamento de Justicia de los Estados Unidos dice que los dos empresarios malasios estaban trabajando con los piratas informáticos chinos para atacar a empresas de videojuegos en Estados Unidos, Francia, Corea del Sur, Japón y Singapur y beneficiarse de estas operaciones. [15] Estos esquemas, en particular una serie de intrusiones informáticas que involucraban a las industrias del juego, se llevaron a cabo bajo la empresa malasia Sea Gamer Mall, que fue fundada por Wong. [1] El 14 de septiembre de 2020, las autoridades malasias arrestaron a ambos individuos en Sitawan. [1]
Las operaciones de APT 41 se describen como " pluriempleo " debido a su equilibrio entre espionaje apoyado por el estado chino y actividades motivadas financieramente fuera de la autorización estatal en su tiempo libre. [9] [16] [17] Como tal, es más difícil determinar si incidentes particulares están dirigidos por el estado o no. [18] La organización ha llevado a cabo múltiples operaciones contra 14 países, en particular Estados Unidos. Dichas actividades incluyen incidentes de seguimiento , compromiso de cadenas de suministro comerciales y recopilación de datos de vigilancia . [19] En 2022, APT 41 estuvo vinculada al robo de al menos $ 20 millones en ayuda de socorro por COVID-19 en los EE. UU. [20]
APT 41 utiliza malware de ciberespionaje que normalmente se mantiene en forma exclusiva para el gobierno chino. [21] Esta característica es común para otras amenazas persistentes avanzadas, ya que les permite obtener información para espiar a objetivos de alto perfil o hacer contacto con ellos para obtener información que beneficie el interés nacional . [22] La relación de APT 41 con el estado chino se puede evidenciar por el hecho de que ninguna de esta información está en la red oscura y puede ser obtenida por el PCCh. [23]
La elección del APT 41 es coherente con los planes nacionales del gobierno chino de avanzar hacia campos de investigación y desarrollo de alto nivel y aumentar las capacidades de producción. Tales iniciativas coinciden con el plan " Made in China 2025 " del gobierno chino, cuyo objetivo es trasladar la producción china a campos de alto valor, como la farmacia , los semiconductores y otros sectores de alta tecnología . [9] [24]
FireEye también ha evaluado con moderada confianza que APT 41 puede participar en trabajos por contrato asociados con el gobierno chino. Personas identificadas asociadas con el grupo han anunciado previamente sus habilidades como hackers a sueldo. Su uso de HOMEUNIX y PHOTO en sus operaciones motivadas personal y financieramente, que son malware inaccesible para el público utilizado por otros actores de espionaje patrocinados por el estado también evidencia esta postura. [9] También se reconoce en China que los hackers más capacitados tienden a trabajar en el sector privado bajo contratos gubernamentales debido a los salarios más altos. [25] El informe de FireEye también señaló que el estado chino ha dependido de contratistas para ayudar con otras operaciones estatales centradas en el ciberespionaje, como lo demostraron las amenazas persistentes avanzadas chinas anteriores como APT 10. [ 9] [26] Algunos consideran que APT 41 está potencialmente compuesto por ciudadanos chinos capacitados, que son utilizados y empleados por el gobierno chino, lo que lleva a suponer que los miembros del grupo a menudo trabajan en dos trabajos, lo que se sustenta en sus horas de trabajo. [9] [27]
Las técnicas operativas de APT 41 son distintas, particularmente en su uso de puertas traseras pasivas en comparación con las tradicionales. Si bien las puertas traseras tradicionales utilizadas por otras amenazas persistentes avanzadas son fácilmente detectables, esta técnica suele ser mucho más difícil de identificar. [9] Las técnicas aplicadas en la actividad de APT 41 motivada financieramente también incluyen compromisos de la cadena de suministro de software . Esto les ha permitido implementar códigos inyectados en archivos legítimos para ser distribuidos, lo que pone en peligro a otras organizaciones al robar datos y alterar los sistemas. [28] También se suele implementar malware sofisticado para pasar desapercibido mientras se extraen datos. [27] Los bootkits también son un tipo de malware utilizado por el grupo, que es difícil de detectar y más difícil de encontrar entre otros grupos de ciberespionaje y ciberdelincuencia , lo que dificulta que los sistemas de seguridad detecten código malicioso. [9] También utilizaron el lanzador Deadeye y el malware Lowkey para realizar un reconocimiento instantáneo sin ser detectados. [29]
APT 41 utiliza regularmente correos electrónicos de phishing tanto para espionaje cibernético como para ataques financieros. [11] El grupo ha enviado muchos correos electrónicos engañosos que intentan obtener información de objetivos de alto nivel después de recopilar datos personales para aumentar la probabilidad de éxito. [30] Los objetivos han variado desde grupos de medios para actividades de espionaje hasta casas de cambio de bitcoins para obtener ganancias financieras. [9]
Actividad de espionaje
FireEye considera que los ataques de APT 41 están relacionados con las estrategias y objetivos nacionales de China, en particular los relacionados con la tecnología. [9] [27] [31] Los ataques a empresas tecnológicas se alinean con el interés chino en desarrollar instrumentos de alta tecnología a nivel nacional, como lo demuestran los Planes Quinquenales 12 y 13. [9] FireEye cree que los ataques a organizaciones de varios sectores diferentes son indicativos de que APT 41 cumple tareas específicamente asignadas. Las campañas atribuidas a APT 41 también demuestran que el grupo se utiliza para obtener información antes de grandes eventos políticos y financieros. [9] [31] Han atacado a empresas en 14 países diferentes (y Hong Kong), incluidos Francia, India, Italia, Japón, Myanmar, los Países Bajos, Singapur, Corea del Sur, Sudáfrica, Suiza, Tailandia, Turquía, el Reino Unido y los Estados Unidos. [32] También se los ha descubierto en varias industrias diferentes, incluidas la atención médica, las telecomunicaciones y la tecnología. [32]
La empresa alemana TeamViewer AG , detrás del popular software del mismo nombre que permitía el control remoto del sistema, fue hackeada en junio de 2016 por APT 41 según una conferencia de seguridad de FireEye. [33] El grupo pudo acceder a los sistemas de los usuarios de TeamViewer en todo el mundo y obtener detalles de gestión e información sobre las empresas. [33] En 2021, APT 41 lanzó varias estafas de phishing en la India que fueron descubiertas por BlackBerry Research and Intelligence. También robaron datos relacionados con la nueva legislación fiscal y los registros y estadísticas de COVID-19. El grupo enmascaró su identidad para que fuera el gobierno indio y así pasaran desapercibidos. [34]
Actividades motivadas económicamente
APT 41 ha tenido como objetivo la industria de los videojuegos, ya que la mayor parte de su actividad está enfocada en obtener ganancias económicas. [9] Los foros de Internet chinos indicaron que los miembros asociados vinculados a APT 41 han publicitado sus habilidades de piratería fuera del horario de oficina chino para obtener ganancias propias. [27] En un caso denunciado por FireEye, el grupo pudo generar moneda virtual para juegos y venderla a compradores a través de mercados clandestinos y esquemas de lavado de dinero , [1] [9] [19] que podrían haber sido vendidos por hasta 300.000 dólares estadounidenses. [31] Aunque no es un método típico utilizado por el grupo para recaudar dinero, APT 41 también intentó implementar ransomware para obtener ganancias de sus operaciones. [9]
FireEye informa que debido a que la mayor parte de la actividad motivada económicamente de APT 41 ocurre más tarde en la noche o temprano en la mañana, esto podría significar que estas actividades no están relacionadas en absoluto con sus actividades de espionaje. [9] FireEye informa que las actividades de APT 41 son en promedio entre las 10:00 y las 23:00 hora estándar de China , lo que es típico para los trabajadores tecnológicos chinos que siguen un horario de trabajo " 996 ". [9]
APT 41 utiliza certificados digitales obtenidos de desarrolladores y productores de videojuegos para firmar su malware. [1] [35] Mediante la aplicación de más de 19 certificados digitales diferentes, apuntan tanto a organizaciones de juegos como a organizaciones que no lo son para evitar ser detectados y garantizar la compatibilidad con los sistemas del objetivo. [9] En 2012, APT 41 aprovechó un certificado de un editor de juegos de Corea del Sur para firmar el malware que usa contra otros miembros de la industria del juego. [9] En 2021, APT 41 lanzó una serie de ataques contra la industria del juego ilegal en China. [36]
El 16 de septiembre de 2020, el Departamento de Justicia de los Estados Unidos publicó cargos previamente sellados contra 5 ciudadanos chinos y 2 malasios por piratear más de 100 empresas en todo el mundo. [1] [37] Estos incluyen empresas involucradas en redes sociales, universidades, proveedores de telecomunicaciones, desarrollo de software, hardware de computadoras, videojuegos, organizaciones sin fines de lucro, grupos de expertos, gobiernos extranjeros y partidarios de la democracia en Hong Kong. [1] [38] Se dijo que los ataques involucraron el robo de código, certificados de firma de código, datos de clientes e información comercial. [37] El fiscal general adjunto Jeffrey Rosen dice que estas acciones implicaron que los piratas informáticos plantaran "puertas traseras" en el software que permitían el acceso directo a los sistemas de la empresa del proveedor de software. [39] Dos de los piratas informáticos chinos también llevaron a cabo ataques a la industria del juego estadounidense, que involucraron al menos a 6 empresas en Nueva York, Texas , Washington , Illinois , California y el Reino Unido. [37]
El Tribunal de Distrito de Estados Unidos para el Distrito de Columbia distribuyó órdenes de captura de cuentas, servidores, nombres de dominio y páginas web utilizadas por los piratas informáticos para llevar a cabo sus operaciones. El FBI, al igual que otras empresas del sector privado, tenía la responsabilidad de ejecutar las órdenes. [1] Microsoft también desarrolló medidas técnicas para impedir el acceso continuo a los sistemas informáticos de las víctimas. La Oficina Federal de Investigaciones publicó un informe que contiene información técnica que puede ser utilizada por grupos del sector privado. [1]
El Departamento de Justicia felicitó al gobierno de Malasia, en particular a la Fiscalía General de Malasia y a la Policía Real de Malasia , por cooperar y ayudar en el arresto de los dos ciudadanos malayos, en particular porque las dificultades radican en detener a los piratas informáticos extranjeros en general. [1] [38] El comunicado de prensa mencionó a Microsoft , Google, Facebook y Verizon Media como grupos que ayudaron en su investigación. [1] El FBI también dio crédito a la Oficina de Investigación del Ministerio de Justicia de Taiwán , que ayudó a proporcionar información a las autoridades estadounidenses después de descubrir servidores APT 41 instalados en California. [40] [41]
Por el contrario, Rosen critica al Partido Comunista Chino por su inacción a la hora de ayudar al FBI a arrestar a los 5 hackers chinos asociados con APT 41. [38] [39] Rosen también afirmó que el Partido Comunista Chino estaba "haciendo que China sea segura para sus cibercriminales" mientras continúan ayudándolos en el espionaje. [39] El portavoz del Ministerio de Asuntos Exteriores chino, Wang Wenbin, dice que Estados Unidos utiliza sus propios problemas de ciberseguridad para "atacar a China" mediante la difusión de información falsa y la manipulación política. [37]
Este anuncio se hizo durante la campaña de reelección del presidente Donald Trump , en la que se relacionó al Partido Comunista Chino con varios ataques de ciberespionaje. Junto con Rusia e Irán , China fue identificada en una evaluación de amenazas nacionales para las elecciones. [39] [42]
APT 41 tiene superposiciones en la actividad con los informes públicos sobre otros grupos como Barium y Winnti. [2] En términos de técnica, hay muchas superposiciones en los certificados digitales y el malware. Según FireEye, una de las similitudes más destacadas es el uso de malware similar, en particular HIGHNOON, en varias áreas de actividad. [2] FireEye informó sobre el uso del malware HIGHNOON y lo agrupó bajo el grupo APT 15 (también conocido como Ke3chang, Vixen Panda, GREF, Playful Dragon). [9] Sin embargo, más tarde se descubrió que esto era obra de varios grupos chinos que comparten herramientas y estrategias. APT 41, así como otros grupos APT como APT 17 y APT 20, utilizaron un certificado digital distribuido por la empresa de videojuegos YNK Japan. [9] APT 41 y APT 40 también utilizaron un certificado digital supuestamente de la autoridad de certificación de Microsoft. [9] El malware no público utilizado por APT 41 está vinculado a otros supuestos grupos patrocinados por el estado chino, lo que puede indicar que APT 41 ha compartido recursos con otros grupos. [9] [17]
{{cite news}}: CS1 maint: varios nombres: lista de autores ( enlace ){{cite news}}: CS1 maint: varios nombres: lista de autores ( enlace )