Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Gallium
Gallium, también conocido como Phantom Panda, Alloy Taurus y Granite Typhoon, es un actor de amenazas con sede en China que ha estado activo desde al menos 2012. Este grupo es conocido por su enfoque en el espionaje, particularmente dirigido a empresas de telecomunicaciones para obtener datos sensibles. Por lo general, obtienen acceso explotando servicios expuestos a internet sin parchear, una táctica clásica que sigue siendo sorprendentemente efectiva.
Perfil del actor de amenazas
Gallium
País de origen
Se cree ampliamente que Gallium es un grupo patrocinado por el estado chino. Esta evaluación se basa en su enfoque específico en sectores y ubicaciones de interés estratégico para el gobierno chino, además de su uso de herramientas y técnicas comúnmente asociadas con otros grupos APT chinos conocidos.
Miembros
El tamaño y la estructura exactos del grupo Gallium se desconocen. Dada su sofisticación y la escala de sus operaciones, es probable que se trate de un equipo bien organizado con roles diferenciados para reconocimiento, desarrollo de exploits, operaciones de intrusión y exfiltración de datos.
Liderazgo
No hay información pública disponible que identifique a los líderes específicos o los alias de Gallium. Como muchos grupos patrocinados por estados, operan con un alto grado de anonimato, lo que dificulta atribuir acciones a individuos específicos.
TTPs de Gallium
tácticas
El objetivo principal de Gallium es la recopilación de inteligencia. Están enfocados en el espionaje, con el fin de robar información sensible que se alinee con los intereses estratégicos del estado chino. Esto a menudo implica atacar a proveedores de telecomunicaciones para acceder a registros detallados de llamadas (CDR), especialmente de individuos y organizaciones de alto valor. También atacan a instituciones financieras y entidades gubernamentales.
técnicas
Para conseguir lo que quiere, Gallium sigue un manual bastante estándar:
Acceso inicial: escanean internet en busca de servicios vulnerables y sin parches. Tienen una afinidad conocida por explotar errores en los servidores de aplicaciones WildFly/JBoss. Una vez que encuentran una debilidad, usan exploits disponibles públicamente para obtener un punto de apoyo persistente.
Acceso a credenciales: después de obtener el acceso inicial, despliegan herramientas de extracción de credenciales como Mimikatz y Windows Credential Editor (WCE) para recolectar nombres de usuario y contraseñas.
Movimiento lateral: con credenciales válidas en mano, usan herramientas como PsExec para moverse por la red, escalar sus privilegios y expandir su acceso.
Persistencia: para asegurarse de poder quedarse, instalan web shells como China Chopper y despliegan varios troyanos de acceso remoto (RAT). También se les ha visto instalar software VPN de SoftEther para crear un túnel persistente y aparentemente legítimo hacia la red.
Procedimientos
Gallium usa una mezcla de herramientas conocidas y ligeramente personalizadas para llevar a cabo sus ataques.
Malware: dependen en gran medida de web shells como China Chopper y su variante nativa basada en IIS, BlackMould. Para el acceso a largo plazo, usan versiones modificadas de RAT como Poison Ivy y Gh0st RAT (detectado como QuarkBandit). Más recientemente, se les ha visto usando un nuevo RAT llamado PingPull, que puede usar ICMP, HTTP(S) y TCP sin procesar para las comunicaciones de C2, lo que dificulta su detección.
Herramientas: su kit de herramientas está lleno de los sospechosos habituales:
HTRAN: para enmascarar conexiones mediante proxy.
Mimikatz y WCE: para extraer credenciales.
NBTScan: para escanear servidores de nombres NetBIOS.
PsExec: para ejecutar comandos de forma remota.
WinRAR: para comprimir datos robados antes de la exfiltración.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Operación Soft Cell (2012-2018): una campaña de larga duración dirigida a proveedores de telecomunicaciones globales. El objetivo principal era robar grandes cantidades de registros detallados de llamadas, probablemente para vigilar objetivos de alto valor. El ataque incluyó la explotación de servidores web, el despliegue de web shells y el uso de versiones modificadas de Poison Ivy.
Campaña global de telecomunicaciones (2018-2019): Microsoft reportó ataques generalizados contra empresas de telecomunicaciones en los que Gallium usó exploits disponibles públicamente contra servidores WildFly/JBoss. Usaron herramientas como HTRAN y Mimikatz para el movimiento lateral y el robo de datos.
Despliegue del RAT PingPull (2021-presente): la investigación de Unit 42 reveló el uso por parte de Gallium de un nuevo RAT, PingPull. Esta herramienta se desplegó en ataques contra objetivos financieros, gubernamentales y de telecomunicaciones en nueve países, mostrando una expansión de su alcance de objetivos.
Aplicación de la ley y arrestos
No se han reportado públicamente acciones de las fuerzas del orden ni arrestos dirigidos específicamente a miembros de Gallium. Al ser un presunto grupo patrocinado por un estado, es probable que sus operadores cuenten con protección de su gobierno, lo que hace que los arrestos y el enjuiciamiento sean extremadamente difíciles.
Cómo defenderte de Gallium
1
Parchea, parchea, parchea: Mantén tus servicios expuestos a internet, especialmente los servidores web y de aplicaciones, completamente parcheados y actualizados.
2
Segmentación de redes: Limita el movimiento lateral segmentando tu red. Esto les dificulta saltar de un servidor web comprometido a tus sistemas internos críticos.
3
Monitorea el tráfico saliente: Mantente alerta a protocolos inusuales o conexiones a dominios de DNS dinámico. Su RAT PingPull puede usar tunelización ICMP, así que asegúrate de inspeccionar más que solo el tráfico HTTP/S.
4
Protección de credenciales: Implementa autenticación multifactor (MFA) en todos los lugares que puedas. Esto neutralizará sus esfuerzos de robo de credenciales.
La plataforma de Huntress está diseñada para detectar las mismas técnicas en las que confía Gallium. Nuestro equipo del SOC, disponible las 24/7, busca señales de persistencia, movimiento lateral y procesos sospechosos. Si usan un web shell para establecer un punto de apoyo persistente o Mimikatz para robar credenciales, lo detectaremos y te ayudaremos a expulsarlos antes de que puedan causar un daño real.
Referencias
- https://malpedia.caad.fkie.fraunhofer.de/actor/gallium#:~:text=GALLIUM%20(Threat%20Actor),East%20Asia%2C%20Europe%20and%20Africa.
- https://malpedhttps://unit42.paloaltonetworks.com/pingpull-gallium/ia.caad.fkie.fraunhofer.de/actor/gallium#:~:text=GALLIUM%20(Threat%20Actor),East%20Asia%2C%20Europe%20and%20Africa.
- https://malpedhthttps://www.attackiq.com/2023/07/28/emulating-gallium/#:~:text=This%20adversary%20focuses%20on%20intelligence,a%20particular%20interest%20in%20thetps://unit42.paloaltonetworks.com/pingpull-gallium/ia.caad.fkie.fraunhofer.de/actor/gallium#:~:text=GALLIUM%20(Threat%20Actor),East%20Asia%2C%20Europe%20and%20Africa.
- https://www.microsoft.com/en-us/security/blog/2019/12/12/gallium-targeting-global-telecom/#:~:text=The%20majority%20of%20these%20are,rather%20than%20develop%20custom%20functionality.
- https://apt.etda.or.th/cgi-bin/showcard.cgi?g=Gallium#:~:text=BlackMould%2C%20China%20Chopper%2C%20Cobalt%20Strike,Alloy%20Taurus%20Updates%20PingPull%20Malware
