IOX
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
IOX es una herramienta de proxy clasificada como canal de comando y control. Se reporta como parte de la campaña de ciberespionaje Shadow-Earth-053, alineada con China. La evidencia indica que se emplea para establecer comunicaciones encubiertas dentro de entornos comprometidos. Comparte infraestructura con otros intrusion sets, específicamente con SHADOW-EARTH-054, donde se detecta su uso conjunto con otras herramientas.
Cómo llega
El acceso inicial se logra explotando vulnerabilidades no parcheadas en Microsoft Exchange, particularmente la cadena ProxyLogon. Los CVE asociados incluyen CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065 y CVE-2025-55182. Tras el acceso, se despliegan web shells GODZILLA para persistencia. IOX se integra posteriormente para el control remoto.
Qué hace una vez dentro
IOX establece canales de comando y control encubiertos dentro de los entornos comprometidos. Funciona como un proxy para ocultar las comunicaciones entre los operadores y los sistemas infectados. La evidencia lo asocia con otras herramientas de túnel como GOST y Wstunnel para mantener la conectividad. Se detecta su uso compartido con el intrusion set SHADOW-EARTH-054.
A quién ataca
La campaña apunta a sectores gubernamentales y de defensa en Asia. Los objetivos específicos incluyen altos funcionarios gubernamentales y contratistas de defensa. La evidencia señala que los atacantes buscan exfiltrar correos y realizar reconocimiento en directorios activos de estas organizaciones.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
