ztevenreal
- Mustang Panda utilizó CVE-2025-9491 para atacar a diplomáticos europeos mediante phishing y archivos .LNK maliciosos
- La error explotada de Windows Shell Link implementa PlugX RAT para camino persistente y filtración de datos
- Cientos de muestras vinculan el día cero con campañas de espionaje chinas de larga duración desde al menos 2017.
Los actores de amenazas patrocinados por el estado chino han estado abusando de una vulnerabilidad de día cero de Windows para atacar a diplomáticos en todo el continente europeo, advierten investigadores de seguridad.
Los investigadores de seguridad Arctic Wolf Labs dijeron recientemente que observaron a un actor-estado-nación conocido como Mustang Panda (UNC6384) enviando correos electrónicos de phishing a diplomáticos en Hungría, Bélgica, Serbia, Italia y los Países Bajos.
Curiosamente, entre las víctimas se encuentran Hungría y Serbia, dos países que tienen fuertes vínculos con China y son, en muchos aspectos, considerados aliados y socios de China -aunque en agosto de 2025 se reveló que China estaba espiando a otro socio importante-. Rusia.
Excederse de archivos .LNK
Los correos electrónicos de phishing tenían como tema los talleres de adquisiciones de defensa de la OTAN, las reuniones de facilitación de fronteras de la Comisión Europea y otros eventos diplomáticos similares, explicaron los investigadores.
Estos llevaban un archivo .LNK astuto que, mediante el atropello de CVE-2025-9491, fue creado para implementar un troyano de camino remoto (RAT) llamado PlugX. Esta RAT brinda a sus operadores camino persistente al sistema comprometido, así como la capacidad de escuchar las comunicaciones, filtrar archivos y más.
El error se debe a la forma en que Windows maneja los archivos de camino directo y se describe como un problema de tergiversación de la interfaz de agraciado en el mecanismo Shell Link. Permite que un archivo .LNK diseñado oculte la cadeneta de comando positivo para que se ejecute un comando astuto diferente cuando el agraciado ejecuta o obtiene una clarividencia previa del camino directo.
Poliedro que la explotación requiere la interacción del agraciado, el error recibió una puntuación de importancia relativamente devaluación de 7,8/10 (suscripción). Aún así, los investigadores encontraron cientos (posiblemente incluso miles) de muestras de .LNK, vinculando la error con campañas de espionaje de larga duración, con algunos ejemplos que se remontan a 2017.
“Arctic Wolf Labs evalúa con gran confianza que esta campaña es atribuible a UNC6384, un actor de amenazas de ciberespionaje afiliado a China”, dijeron los investigadores.
“Esta atribución se apoyo en múltiples líneas de evidencia convergentes que incluyen Las herramientas de malware, los procedimientos tácticos, la columna de objetivos y la infraestructura se superponen con operaciones UNC6384 previamente documentadas”.
A través de pitidocomputadora
El mejor antivirus para todos los bolsillos
Siga TechRadar en Google News y agréganos como fuente preferida para percibir telediario, reseñas y opiniones de nuestros expertos en sus feeds. ¡Asegúrate de hacer clic en el pimpollo Seguir!
Y por supuesto igualmente puedes Siga TechRadar en TikTok para telediario, reseñas, unboxings en forma de video y reciba actualizaciones periódicas de nuestra parte en WhatsApp igualmente.
