HelloNet usa ViPNet para atacar agencias rusas con malware

Un grupo avanzado de ciberdelincuentes está abusando del mecanismo de actualización del software ViPNet para atacar organizaciones rusas, incluyendo agencias gubernamentales, con un malware sofisticado que actúa como proxy y cargador de cargas maliciosas adicionales.

Por qué importa: La campaña HelloNet compromete sistemas críticos en sectores estratégicos de Rusia, aprovechando una herramienta certificada y ampliamente usada en entornos gubernamentales.

Lo esencial

La campaña HelloNet se detecta desde mayo y afecta a sectores como gobierno, energía y transporte.
El malware se introduce mediante un archivo DLL malicioso cargado por el sistema legítimo de actualizaciones de ViPNet.
Kaspersky atribuye la campaña a un grupo APT de habla china, aunque con baja confianza y posible operación de falsa bandera.

Abuso del sistema de actualizaciones de ViPNet

ViPNet, desarrollado por InfoTeCS, es un conjunto de productos de seguridad informática ruso que incluye VPN, protección de endpoints y gestión centralizada, certificado para uso gubernamental. Los atacantes colocaron un archivo malicioso llamado wtsapi32.dll (HelloInjector) en el directorio local del sistema de actualizaciones de ViPNet. Este DLL se carga al inicio del sistema mediante el proceso legítimo itcsrvup64.exe, inyectándose en svchost.exe para obtener privilegios elevados y persistencia.

Herramientas y funcionalidades del malware HelloNet

HelloInjector ejecuta en memoria un payload llamado HelloProxy que se conecta a un servidor de comando y control (C2) para descargar módulos adicionales. Entre ellos están HelloExecutor, un backdoor para ejecutar comandos y realizar reconocimiento de red; HelloCleaner, que elimina registros de ViPNet para ocultar la actividad maliciosa; y HelloBackdoor, implantado en Rust, que permite subir y bajar archivos y ejecutar comandos remotos.

Campaña HelloNet usa ViPNet para atacar agencias rusas con malware avanzado — Imagen de referencia: BleepingComputer.

Origen y atribución del ataque

Kaspersky señala que la campaña podría estar vinculada a un grupo avanzado persistente (APT) de habla china, basándose en indicios como una cadena de texto no usada que referencia un sitio web chino y un espejo de descarga alojado en una universidad china. Sin embargo, la atribución es débil y no se descarta que pueda tratarse de una operación de falsa bandera.

Recomendaciones para organizaciones afectadas

Se aconseja a las entidades que utilicen ViPNet monitorear cuidadosamente sus sistemas, especialmente el tráfico en los puertos 5003 y 5060 usados por HelloProxy, y el puerto 443 empleado por HelloBackdoor. La detección temprana es clave para evitar la escalada y persistencia del malware.

Preguntas frecuentes sobre HelloNet y ViPNet

¿Cómo se infiltra el malware en ViPNet?

El malware se introduce mediante la colocación de un archivo DLL malicioso en el directorio de actualizaciones de ViPNet, que es cargado por un proceso legítimo al inicio del sistema.

¿ViPNet fue comprometido directamente?

No hay evidencia de que la infraestructura de actualizaciones de ViPNet haya sido comprometida; el acceso inicial para modificar archivos no ha sido detallado por los investigadores.