DXSCAN
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
DXSCAN es una plataforma de comando y control escrita en Go, operada por el grupo criminal BlackHatSect0r. Su función principal es recolectar credenciales y ejecutar campañas automatizadas de extorsión y vishing. El operador modificó un agente de IA para eliminar controles de seguridad y permitir su uso como arma.
Cómo llega
La evidencia no describe un vector inicial de infección específico ni señuelos utilizados para el acceso inicial. Sin embargo, la base asocia la herramienta con la explotación de ocho vulnerabilidades conocidas: CVE-2018-15133, CVE-2020-5902, CVE-2021-22986, CVE-2021-3129, CVE-2022-1388, CVE-2022-22947, CVE-2023-46747 y CVE-2024-27198. No hay datos sobre ingeniería social inicial.
Qué hace una vez dentro
Recolecta credenciales de forma masiva y ejecuta campañas automatizadas de extorsión y vishing. Permite la gestión de dominios en cola para operaciones de ataque. La evidencia no detalla otras capacidades técnicas específicas más allá de la recolección y el vishing.
A quién ataca
Apunta principalmente a instituciones gubernamentales francesas, como la Federación Ecuestre y el Sistema Nacional de Observación de Montaña. También ataca a cuatro organismos públicos de Nueva York, clientes bancarios franceses de edad avanzada y exchanges de criptomonedas. La evidencia no especifica regiones adicionales más allá de Francia y Nueva York.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Reconocimiento | Search Engines | T1593.002 |
| Reconocimiento | Scanning IP Blocks | T1595.001 |
| Reconocimiento | Vulnerability Scanning | T1595.002 |
| Reconocimiento | DNS/Passive DNS | T1596.001 |
| Reconocimiento | Digital Certificates | T1596.003 |
| Desarrollo de recursos | Domains | T1583.001 |
| Desarrollo de recursos | Virtual Private Server | T1583.003 |
| Desarrollo de recursos | Social Media Accounts | T1585.001 |
| Desarrollo de recursos | Malware | T1587.001 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Indicator Removal | T1070 |
| Sigilo | Valid Accounts | T1078 |
| Acceso a credenciales | Brute Force | T1110 |
| Acceso a credenciales | Steal Application Access Token | T1528 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Acceso a credenciales | Credentials from Password Stores | T1555 |
| Acceso a credenciales | Web Cookies | T1606.001 |
| Acceso a credenciales | SAML Tokens | T1606.002 |
| Recolección | Data from Local System | T1005 |
| Recolección | Local Email Collection | T1114.001 |
| Recolección | Automated Collection | T1119 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Bidirectional Communication | T1102.002 |
| Comando y control | Non-Standard Port | T1571 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
| Exfiltración | Exfiltration to Cloud Storage | T1567.002 |
| Impacto | Data Encrypted for Impact | T1486 |
| Impacto | External Defacement | T1491.002 |
| Impacto | Network Denial of Service | T1498 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2018-15133 | Laravel Laravel Framework | 8.1 | Sí | AlienVault OTX (presunta) |
| CVE-2020-5902 | F5 BIG-IP | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-22986 | F5 BIG-IP and BIG-IQ Centralized Management | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-3129 | Laravel Ignition | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-1388 | F5 BIG-IP | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-22947 | VMware Spring Cloud Gateway | 10 | Sí | AlienVault OTX (presunta) |
| CVE-2023-46747 | F5 BIG-IP Configuration Utility | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2024-27198 | JetBrains TeamCity | 9.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
