Terndoor
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Terndoor es una familia de backdoor desplegada por el grupo APT chino FamousSparrow. Se utilizó para establecer acceso inicial y persistencia en servidores Microsoft Exchange vulnerables. La evidencia indica que opera mediante técnicas de evasión de sandbox.
Cómo llega
El vector inicial consiste en la explotación de servidores Microsoft Exchange sin parches. Se aprovechan las vulnerabilidades ProxyShell y ProxyNotShell para ingresar. La evidencia indica que el despliegue del backdoor se realizó en múltiples oleadas, demostrando persistencia operativa al reutilizar el mismo punto de entrada.
Qué hace una vez dentro
Establece acceso inicial y persistencia en los servidores afectados. Emplea una técnica evolucionada de DLL sideloading que utiliza un mecanismo de disparo de dos etapas. Este mecanismo controla la ejecución a través del flujo de control legítimo de la aplicación, lo que permite evadir eficazmente el análisis en sandbox automatizado.
A quién ataca
La campaña apunta específicamente a una empresa del sector de petróleo y gas en Azerbaiyán. La evidencia indica que el objetivo principal son servidores Microsoft Exchange vulnerables dentro de esta organización industrial, sin mencionar otros sectores o regiones geográficas adicionales en las fuentes proporcionadas.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
