El grupo Mustang Panda evoluciona sus tácticas contra objetivos estratégicos
El panorama de las amenazas persistentes avanzadas (APT) continúa sofisticándose, y el grupo de espionaje alineado con intereses chinos, Mustang Panda, ha vuelto a demostrar su capacidad de adaptación. Recientes investigaciones de la Unidad de Investigación de Amenazas de Acronis han revelado una campaña dirigida contra el gobierno de la India y sectores de energía hidroeléctrica, utilizando una técnica particularmente difícil de detectar: el uso de servicios en la nube legítimos como canales de Comando y Control (C2).
¿En qué consiste el ataque?
La campaña se centra en el despliegue de malware diseñado para abusar de Zoho WorkDrive, una plataforma de almacenamiento en la nube ampliamente utilizada en entornos corporativos y gubernamentales. Al utilizar este servicio para enviar comandos y exfiltrar datos, los atacantes logran que el tráfico malicioso se camufle entre la actividad ordinaria de la red, pasando desapercibido para muchas herramientas de monitoreo tradicionales.
El vector de entrada principal detectado es el spear-phishing, mediante el cual se envían archivos ZIP que contienen bibliotecas de enlace dinámico (DLL) ocultas. Los atacantes emplean una técnica conocida como DLL Sideloading, donde un ejecutable legítimo y firmado (como componentes de Citrix o Solid PDF Creator) carga involuntariamente el código malicioso.
Herramientas técnicas identificadas
El análisis técnico ha identificado tres herramientas clave en este arsenal:
- SHARDLOADER: Un cargador que facilita la ejecución del malware mediante la carga lateral de DLL.
- MINIRECON: Una variante de backdoor que establece conexiones mediante WebSockets sobre HTTPS para mantener el acceso persistente.
- ZOHOMURK: La pieza más innovadora, que utiliza credenciales OAuth de Zoho codificadas para convertir una cuenta de WorkDrive en un «buzón muerto» (dead drop), donde lee instrucciones y deposita los datos robados.
Implicaciones para la ciberseguridad empresarial
Este incidente subraya una tendencia creciente en el ciberespionaje: el aprovechamiento de la confianza en los servicios SaaS. Para una organización, bloquear el acceso a plataformas como Zoho, OneDrive o Google Drive no suele ser una opción viable, lo que convierte a estas herramientas en el escondite perfecto para los actores de amenazas.
Desde la perspectiva de la gestión de riesgos, es fundamental entender que la seguridad no termina en la implementación de herramientas firmadas o servicios de confianza. Los atacantes están explotando precisamente esa confianza para evadir perímetros de seguridad.
Recomendaciones de defensa
Para mitigar este tipo de amenazas, las organizaciones deben considerar las siguientes medidas:
- Monitoreo de APIs: Implementar soluciones que detecten procesos inusuales realizando llamadas a APIs de servicios en la nube, especialmente si provienen de aplicaciones que no deberían interactuar con ellos.
- Análisis de comportamiento de endpoints: Supervisar la ejecución de binarios firmados que cargan DLL desde ubicaciones inusuales o carpetas ocultas.
- Formación en Ingeniería Social: Reforzar la concienciación de los empleados sobre el spear-phishing, especialmente aquellos en puestos administrativos de alto nivel.
- Estrategia Zero Trust: No asumir que el tráfico hacia servicios conocidos es seguro por defecto.
En Intedya, enfatizamos la importancia de contar con sistemas de gestión de seguridad de la información robustos, como la ISO/IEC 27001, que permitan identificar y gestionar estos riesgos de manera proactiva en un entorno digital cada vez más complejo.
Fuentes
- The Hacker News — Mustang Panda Uses Zoho WorkDrive as Command Channel in Indian Government Attacks
https://thehackernews.com/2026/06/mustang-panda-uses-zoho-workdrive-as.html