Las autoridades de Estados Unidos informaron la resolución de operaciones que daban servicio a MicroScan y FishHub, dos herramientas vinculadas a actores patrocinados por el Estado chino que han sido utilizadas en campañas contra infraestructuras críticas, organizaciones no gubernamentales y universidades fuera y dentro de EE. UU.
Qué son MicroScan y FishHub y cómo operaban
MicroScan es, según el comunicado conjunto de agencias internacionales, una aplicación web basada en Python diseñada para el reconocimiento y la detección de vulnerabilidades. Contiene una gran colección de scripts de prueba (más de 1.300, según la nota) para escanear servicios y aplicaciones populares como Apache Struts, Jenkins, OpenSSL, Oracle, WebLogic y WordPress, entre otros.
FishHub, por su parte, ha servido como plataforma de acceso remoto: permitía a clientes de Integrity Technology Group —la compañía señalada por EE. UU.— acceder a redes comprometidas, buscar archivos concretos y extraerlos. Ambos instrumentos fueron empleados en campañas de intrusión y exfiltración dirigidas a blancos en varios países.
A quiénes afectaba y qué técnicas se observaron
Las agencias que publicaron el aviso conjunto atribuyen el uso de estas herramientas principalmente al grupo conocido como Flax Typhoon (con varios alias en la comunidad de ciberseguridad) y a otros APTs asociados. Entre las víctimas citadas aparecen una compañía eléctrica estadounidense, aeropuertos en Japón y Polonia, numerosas universidades en Taiwán y organizaciones del tercer sector.
Para facilitar el reconocimiento y el acceso, los atacantes combinaron MicroScan y FishHub con otras utilidades y técnicas habituales en operaciones avanzadas: escáneres de red (Nmap, masscan), herramientas de enumeración de subdominios y scripts para explotar servidores web; uso de variantes del malware Mirai para construir botnets de dispositivos IoT que sirvieron como infraestructura de reconocimiento; y herramientas de persistencia como VPNs (por ejemplo SoftEther) para mantener el acceso.
Una vez dentro, los operadores recopilaban credenciales, extraían correos y bases de datos e incluso restringían el acceso a los datos exfiltrados a rangos de IP concretos en algunos incidentes, según el aviso.
Medidas tomadas por EE. UU. y aliados
Como parte de la operación, las autoridades incautaron varios dominios usados para el control y distribución de MicroScan y FishHub —entre ellos ejemplos registrados como controladores de comando y control— y señalaron que la compañía fabricante, Integrity Technology Group, ya había sido objeto de medidas en años anteriores (operaciones contra su botnet y sanciones posteriores).
El anuncio se apoya en un aviso conjunto publicado por agencias de Estados Unidos, Reino Unido, Australia, Canadá, Japón, Nueva Zelanda y España, que documenta la actividad histórica de las herramientas y ofrece indicadores técnicos para que los defensores los utilicen en la detección y mitigación.
Qué debe hacer un administrador o responsable de una web o servicio
Los operadores de sitios y administradores de sistemas deben tomar en cuenta que MicroScan apunta a vulnerabilidades en servicios comunes y marcos de trabajo. Recomendaciones prácticas:
- Revisar y aplicar los parches disponibles para servidores web, aplicaciones y frameworks (Apache, Jenkins, WebLogic, OpenSSL, plugins de WordPress, etc.).
- Auditar accesos remotos y VPNs: limitar el uso de canales de administración expuestos públicamente y forzar autenticación fuerte y control de accesos.
- Buscar indicadores de compromiso proporcionados en el aviso conjunto (dominios, patrones de tráfico, herramientas utilizadas) y monitorear logs de red y de aplicaciones en busca de actividad inusual.
- Revisar cuentas y credenciales: forzar restablecimiento de credenciales comprometidas y activar MFA donde sea posible.
- Hardenizar dispositivos IoT y segmentar redes para evitar que botnets o dispositivos inseguros sirvan como plataforma de reconocimiento.
El impacto de la operación radica en limitar la disponibilidad de estas herramientas al interceptar su infraestructura de control y en alertar a defensores sobre tácticas, técnicas y procedimientos concretos. Los administradores deben tratar el aviso como un llamado a intensificar la higiene de seguridad y la supervisión de sus entornos.
Lee también:
- Tres equipos explotan de forma remota un Google Pixel 10 en Pwn2Own Ireland
- Cambio de la clave de confianza raíz DNS programado para el 11 de octubre: qué significa para administradores web
Fuente: SecurityWeek
