HAFNIUM
El grupo chino detrás de la explotación masiva de Microsoft Exchange en 2021, rápido para convertir en arma cualquier falla de equipos de borde.
Quién es
HAFNIUM es un grupo de espionaje con base en China, probablemente patrocinado por el Estado, activo al menos desde enero de 2021. Microsoft hoy lo llama Silk Typhoon. Se hizo conocido en marzo de 2021 por explotar vulnerabilidades de día cero de Microsoft Exchange Server, la cadena conocida como ProxyLogon.
Cómo entra
Explotando aplicaciones expuestas a internet, sobre todo servidores de correo y equipos de borde, y aprovechando la relación de confianza con proveedores de herramientas de gestión remota y software en la nube.
Qué hace una vez dentro
Instala web shells como China Chopper y ASPXSpy para quedarse, usa Covenant e Impacket para el control y el movimiento, y oculta tareas programadas con su herramienta Tarrask. Roba credenciales y saca buzones de correo y documentos.
A quién ataca
Entidades de Estados Unidos: investigadores de enfermedades infecciosas, despachos de abogados, universidades, contratistas de defensa, centros de análisis político y organizaciones no gubernamentales.
Técnicas de MITRE ATT&CK
Reconocimiento 5
Desarrollo de recursos 4
Escalada de privilegios 1
- T1068Exploitation for Privilege Escalation
Sigilo 4
Debilitamiento de defensas 1
- T1685.005Clear Windows Event Logs
Acceso a credenciales 4
Descubrimiento 6
Movimiento lateral 1
- T1550.001Application Access Token
Recolección 6
Comando y control 4
Exfiltración 1
- T1567.002Exfiltration to Cloud Storage
Fuente: MITRE ATT&CK v20, grupo G0125.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Vulnerabilidades que explota
| CVE | Producto | CVSS | KEV de CISA |
|---|---|---|---|
| CVE-2021-26855 | Microsoft Exchange Server (ProxyLogon) | 9.1 | Sí |
| CVE-2021-26857 | Microsoft Exchange Server (ProxyLogon) | 7.8 | Sí |
| CVE-2021-26858 | Microsoft Exchange Server (ProxyLogon) | 7.8 | Sí |
| CVE-2021-27065 | Microsoft Exchange Server (ProxyLogon) | 7.8 | Sí |
Documentadas en los avisos y reportes de la sección Fuentes.
Villanos relacionados
Fuentes
