BlueShell acecha Linux en Japón
¿Sabías que hackers chinos llevan años infiltrados en empresas japonesas sin ser detectados?
BlackTech, el APT alineado con China, acaba de estrenar una nueva arma silenciosa.
Este grupo lleva años operando en la sombra, colándose en redes corporativas de Japón con técnicas que evolucionan cada temporada para no dejar rastro.
Ahora han dado un paso más: adoptaron BlueShell, un RAT de código abierto documentado en chino, adaptado para atacar servidores Linux corporativos japoneses.
El malware entra, actúa y desaparece del disco sin rastro.
El dropper llega vía SSH con credenciales robadas. Decodifica el payload con XOR, lo descomprime y lo escribe como /tmp/kthread. Luego lo ejecuta y borra el archivo del disco de inmediato. Lo que queda es solo una imagen en memoria, invisible para el análisis forense convencional. El proceso se disfraza como worker del kernel con nombres como [kworker/12:12], mezclándose con procesos legítimos del sistema.
Si buscas el archivo, ya no existe.
Los investigadores de IIJ Security confirman que el dropper también se elimina tras ejecutarse, obligando a los equipos de respuesta a recurrir a forense en memoria para recuperar el payload. El malware lee su configuración desde variables de entorno, la decodifica en Base64 y luego con XOR, extrayendo parámetros como la IP del servidor de control, intervalos de espera y ajustes de proxy interno.
El tráfico malicioso se oculta detrás de IPs de Microsoft Azure.
Para comunicarse con su servidor de control, el backdoor establece una sesión TLS y verifica el campo Common Name del certificado X.509. Solo conecta si ese campo contiene palabras como microsoft, google o cloudflare. Así, el tráfico malicioso se camufla entre conexiones legítimas a servicios cloud, esquivando los controles de salida corporativos.
BlackTech no improvisa: aprende y refina.
Las muestras anteriores a 2023 carecían de proxy C2 y configuración cifrada. Las de 2024 en adelante las implementan de forma consistente. Eso no es casualidad: es un equipo que itera sobre su propio código con experiencia operativa real.
El proxy interno se convierte en cómplice.
Uno de los detalles más reveladores es que la variante enruta el tráfico hacia el servidor de control a través del proxy interno de la organización atacada. Los investigadores encontraron configuraciones apuntando al puerto 3128, el puerto por defecto de Squid. BlackTech no intenta saltarse los controles de red: los usa a su favor, haciendo que su tráfico parezca una conexión corporativa más.
El backdoor también perfila cada máquina comprometida con detalle.
En lugar de enviar solo un identificador de sistema operativo, la variante exfiltra hostname, nombre de usuario, UID, IP local y marcas de tiempo de conexión. Eso le da al atacante un inventario preciso de activos comprometidos, facilitando la gestión de sesiones y la priorización de objetivos dentro de la red.
BlueShell no es exclusivo de BlackTech, pero ellos lo perfeccionan.
Este RAT escrito en Go ha sido usado por otros actores vinculados a China contra objetivos en Corea del Sur y Tailandia. BlackTech lo tomó como base y añadió capas de evasión que no existían en el código original.
El código fuente abierto se convierte en arma avanzada.
Que un grupo APT adopte un proyecto de GitHub con documentación en chino y lo transforme en un backdoor con evasión de certificados, proxy-awareness y configuración cifrada dice mucho sobre cómo operan hoy los actores estatales. Toman lo que existe, lo adaptan y lo despliegan con precisión quirúrgica.
Japón está en el centro de la diana.
Las empresas japonesas que dependen de servidores Linux y proxies HTTP son el objetivo prioritario. Monitorizar binarios efímeros en /tmp y conexiones inusuales hacia IPs cloud es ahora urgente.
Qué puedes hacer
- ✓Vigila procesos con nombres de kernel en entornos Linux corporativos.
- ✓Audita conexiones salientes inusuales que pasen por tu proxy interno.
- ✓Activa forense en memoria para detectar payloads sin rastro en disco.
¿Tu empresa sabría detectar un intruso que ya borró sus huellas?
La seguridad no se improvisa, se audita. En Nacata Security detectamos vulnerabilidades y protegemos tu empresa, porque un solo fallo puede costarte todo lo que has construido.
Artículos relacionados
BitLocker toma empresas como rehenes
MessiahGPT forja malware sin límites
Zimbra atrapada en espionaje ruso
Moucka roba miles de millones
Irán corta el grifo a Minnesota
Nacata Security, contáctanos cuando quieras
Somos Nacata Security, conócenos
web: nacata.io
email: info@nacata.io
Teléfono: 919930793
LinkedIn: Nacata Security
El ecosistema de los actores maliciosos y la inteligencia que se genera sobre ellos: grupos APT y su atribución, bandas de ransomware, operaciones policiales y detenciones, mercados de la dark web, informes de threat intelligence y el trasfondo geopolítico del cibercrimen.
RATING
9.7
¿Quiénes somos?
En Nacata Security somos una empresa de ciberseguridad ofensiva especializada en auditorías y test de intrusión.
Detectamos, evaluamos y ayudamos a mitigar las vulnerabilidades de tus sistemas, redes y aplicaciones antes de que un atacante real las explote, ofreciendo una defensa 360º adaptada a cada cliente.
Estamos encantados de contactar contigo para lo que quieras.