GLUTTON
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
GLUTTON es un webshell esteganográfico que se oculta dentro de imágenes PNG para mantener acceso persistente. La evidencia lo asocia con la infraestructura de niestools.com y el uso de proxies SOCKS autenticados. Su despliegue forma parte de una campaña más amplia contra sistemas críticos en Asia, operado por un actor chino.
Cómo llega
El operador explota vulnerabilidades conocidas para ganar acceso inicial. La evidencia menciona específicamente Shellshock, Log4Shell y Spring4Shell. Se aprovechan las debilidades en software para desplegar el webshell esteganográfico. No se mencionan señuelos específicos en la evidencia proporcionada.
Qué hace una vez dentro
Se oculta dentro de imágenes PNG mediante esteganografía para mantener acceso persistente en los sistemas comprometidos. La evidencia lo describe como un mecanismo de ocultación desplegado junto con otras implantaciones. No se detalla en las fuentes una funcionalidad técnica adicional de control remoto o robo de credenciales atribuida específicamente a este webshell.
A quién ataca
Apunta a entornos gubernamentales, organizaciones políticas, instituciones educativas e infraestructura de telecomunicaciones. La evidencia detalla compromisos en oficinas gubernamentales del distrito de Fengtai, plataformas de inteligencia artificial educativa y sistemas de campus universitarios. La región principal de operación es Asia, donde opera un actor chino.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Reconocimiento | Active Scanning | T1595 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Persistencia | External Remote Services | T1133 |
| Persistencia | Web Shell | T1505.003 |
| Sigilo | Valid Accounts | T1078 |
| Acceso a credenciales | OS Credential Dumping | T1003 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Movimiento lateral | SSH | T1021.004 |
| Recolección | Data from Information Repositories | T1213 |
| Comando y control | Proxy | T1090 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Exfiltración | Exfiltration Over Web Service | T1567 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2014-6271 | GNU Bourne-Again Shell (Bash) | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2016-4437 | Apache Shiro | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2020-1938 | Apache Tomcat | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-43798 | Grafana Labs Grafana | 7.5 | Sí | AlienVault OTX (presunta) |
| CVE-2021-44228 | Apache Log4j2 | 10 | Sí | AlienVault OTX (presunta) |
| CVE-2022-22965 | VMware Spring Framework | 9.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
