Chisel
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Chisel es una utilidad de túnel inverso y proxy desplegada por operadores de PCPJack en servidores de nube comprometidos. La evidencia indica que se usó para establecer túneles SOCKS5 reversos y facilitar la comunicación con beacons C2. Actúa como infraestructura de conectividad para la red de reenvío SMTP.
Cómo llega
Los operadores desplegaron binarios de Chisel junto con desplegadores en Python y archivos de estado operativo. Se encontraron en directorios expuestos de la infraestructura comprometida. No se especifica un vector inicial único ni un CVE específico para esta herramienta en la evidencia.
Qué hace una vez dentro
Establece túneles SOCKS5 reversos en los hosts comprometidos para facilitar la comunicación con beacons C2. Sirve como infraestructura de conectividad para la red de reenvío SMTP. Los proxies verificados se sincronizan cada cinco minutos con un servidor de agregación aguas abajo.
A quién ataca
La herramienta apunta a servidores Linux alojados en la nube, específicamente en las plataformas AWS, GCP y Azure. Los operadores comprometieron estos sistemas para construir una red oculta de reenvío de correo electrónico.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Desarrollo de recursos | Virtual Private Server | T1583.003 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Cron | T1053.003 |
| Ejecución | Scheduled Task | T1053.005 |
| Ejecución | PowerShell | T1059.001 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Unix Shell | T1059.004 |
| Persistencia | Account Manipulation | T1098 |
| Persistencia | External Remote Services | T1133 |
| Persistencia | Create Account | T1136 |
| Persistencia | Web Shell | T1505.003 |
| Persistencia | Systemd Service | T1543.002 |
| Persistencia | Windows Service | T1543.003 |
| Escalada de privilegios | Bypass User Account Control | T1548.002 |
| Sigilo | Masquerade Task or Service | T1036.004 |
| Sigilo | Valid Accounts | T1078 |
| Sigilo | Hidden Files and Directories | T1564.001 |
| Acceso a credenciales | Security Account Manager | T1003.002 |
| Acceso a credenciales | Password Guessing | T1110.001 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Descubrimiento | System Network Connections Discovery | T1049 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Descubrimiento | Domain Account | T1087.002 |
| Recolección | Remote Data Staging | T1074.002 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Proxy | T1090 |
| Comando y control | Multi-hop Proxy | T1090.003 |
| Comando y control | Protocol Tunneling | T1572 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
| Exfiltración | Exfiltration Over Alternative Protocol | T1048 |
| Exfiltración | Exfiltration Over Web Service | T1567 |
Fuente: AlienVault OTX: técnicas de 2 reportes dedicados al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2021-4034 | Red Hat Polkit | 7.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
