Un grupo de piratas informáticos de habla china recientemente identificado, identificado como UAT-7237, ha sido descubierto atacando sitios de alojamiento web y VPN infraestructura en Taiwán, según la investigación de Cisco Talos realizada por Asheer Malhotra, Brandon White y Vitor Ventura.
La campaña destaca cómo los servicios de alojamiento web siguen siendo un objetivo de alto riesgo para los atacantes estatales. Para quienes compran un servicio de alojamiento, este incidente es un recordatorio de que la ubicación del servidor, la aplicación de parches y las prácticas de seguridad de su proveedor pueden afectar directamente la seguridad de su sitio web.
¿Que pasó?
Investigadores de Cisco Talos revelaron que el UAT-7237 ha estado activo desde al menos 2022. Se cree que el grupo es un subgrupo de un clúster APT chino más grande, conocido como UAT-5918. A diferencia de los grupos de ransomware de asalto, esta campaña se centra en el acceso oculto y a largo plazo a los sistemas de alojamiento.
En lugar de obtener ganancias monetarias rápidas, los atacantes buscan el control sobre VPN y la infraestructura en la nube, activos que pueden brindarles acceso persistente a comunicaciones y datos confidenciales.
¿Cómo entraron?
Los atacantes obtuvieron acceso inicial explotando servidores sin parches y expuestos a internet. Una vez dentro, implementaron una herramienta personalizada llamada "SoundBill", que carga otras cargas útiles como Cobalt Strike para control remoto y ladrones de credenciales como Mimikatz.
También se basaron en:
- Herramientas de escalada de privilegios (JuicyPotato)
- Utilidades de administración de Windows (SharpWMI, WMICmd)
- VPN clientes y acceso RDP para persistencia
- Técnicas de recolección de credenciales como el dumping de LSASS
En lugar de eliminar inmediatamente los shells web, los atacantes instalaron SoftEther VPN clientes (configurados en chino), lo que les permite moverse lateralmente y mantener una presencia a largo plazo sin generar alarmas.
Lectura adicional de esta investigación sobre Blog de Cisco Talos; Los COI para esta investigación también se pueden encontrar en este Repositorio GitHub.
¿Por qué esto es importante para los compradores de hosting?
Para las empresas y desarrolladores que eligen un proveedor de alojamiento, este incidente destaca tres realidades:
La gestión de parches es fundamental
Los atacantes explotaron sistemas obsoletos. Un proveedor de alojamiento web confiable debe actualizar su software rápidamente y no exponer a sus clientes a vulnerabilidades conocidas.
La seguridad es parte del tiempo de actividad
A menudo hablamos de garantías de disponibilidad, pero un servidor comprometido puede ser tan perjudicial como una interrupción del servicio. Si su proveedor de hosting no protege su infraestructura, su sitio web podría convertirse en un daño colateral en una campaña de espionaje mayor.
Vale la pena considerar la seguridad administrada
El alojamiento compartido a menudo proporciona un aislamiento limitado. VPS o administrado WordPress El alojamiento generalmente ofrece capas de seguridad más fuertes, incluido el aislamiento de contenedores, firewalls dedicados o monitoreo de malware, que reducen los riesgos de los vecinos en el mismo servidor.
Lecciones para usuarios de hosting
- Elija un host que admita la aplicación de parches proactivos. Pregunte qué tan rápido implementan las actualizaciones de seguridad.
- Busque proveedores que incluyan análisis de malware, detección de intrusiones o DDoS proteccion.
- Si ejecuta cargas de trabajo sensibles, considere el alojamiento VPS o el alojamiento dedicado, que aíslan los recursos y reducen el riesgo de movimiento lateral.
- Supervise la actividad de su propia cuenta. Incluso si su host administra la seguridad, debe estar atento a intentos de inicio de sesión inusuales o procesos nuevos.
Conclusión
Campañas de ciberespionaje como la UAT-7237 nos recuerdan que la infraestructura de alojamiento web es fundamental tanto para las operaciones comerciales como para los intereses de seguridad global. Si bien esta campaña se dirigió a... proveedores taiwaneses, las técnicas (explotación de servidores obsoletos, instalación VPN Las puertas traseras y la recolección de credenciales no están limitadas por la geografía.
Para los propietarios de sitios web, la lección es simple: Elija un proveedor que se tome la seguridad en serio.
Ya sea que gestione una tienda de comercio electrónico, una plataforma de membresía o un sitio comercial, la velocidad de aplicación de parches y la postura de seguridad de su host afectan directamente su exposición al riesgo.
Como siempre, recomendamos revisar las opciones de alojamiento teniendo en cuenta tanto el rendimiento como la seguridad.
