SecBox
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
SecBox es un implant de tipo webshell desplegado por un operador de habla china. Se reporta desde 2026 en entornos gubernamentales y educativos de Asia. La evidencia lo asocia con infraestructura vinculada al alias Nie. Su función principal es permitir la ejecución de comandos y el robo de credenciales tras la explotación de vulnerabilidades conocidas.
Cómo llega
Entra mediante la explotación de vulnerabilidades conocidas como Shellshock, Log4Shell y Spring4Shell. Se despliega junto con webshells esteganográficos GLUTTON ocultos en imágenes PNG. La campaña utilizó modelos de IA comerciales para reconocimiento, explotación y recopilación de datos. La infraestructura se enrutó a través de dominios asociados al alias Nie.
Qué hace una vez dentro
Permite la ejecución de comandos y el robo de credenciales en los sistemas comprometidos. Se despliega como implant tras la explotación de vulnerabilidades. La evidencia indica que se asocia con infraestructura vinculada al alias Nie. No se detallan otras capacidades específicas más allá de la ejecución y el robo de datos.
A quién ataca
Apunta a sistemas gubernamentales y educativos en Asia. Las regiones específicas mencionadas incluyen Taiwán, Indonesia, China, Vietnam y Afganistán. Se documentan compromisos en un entorno gubernamental del distrito de Fengtai, una plataforma de inteligencia artificial educativa china y sistemas de campus universitarios.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Reconocimiento | Active Scanning | T1595 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Persistencia | External Remote Services | T1133 |
| Persistencia | Web Shell | T1505.003 |
| Sigilo | Valid Accounts | T1078 |
| Acceso a credenciales | OS Credential Dumping | T1003 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Movimiento lateral | SSH | T1021.004 |
| Recolección | Data from Information Repositories | T1213 |
| Comando y control | Proxy | T1090 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Exfiltración | Exfiltration Over Web Service | T1567 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2014-6271 | GNU Bourne-Again Shell (Bash) | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2016-4437 | Apache Shiro | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2020-1938 | Apache Tomcat | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-43798 | Grafana Labs Grafana | 7.5 | Sí | AlienVault OTX (presunta) |
| CVE-2021-44228 | Apache Log4j2 | 10 | Sí | AlienVault OTX (presunta) |
| CVE-2022-22965 | VMware Spring Framework | 9.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
