Lotus Panda ataca a un gobierno no identificado utilizando herramientas de hacking personalizadas y malware.
El célebre grupo chino empleó herramientas completamente nuevas.
Un actor de amenazas respaldado por el Estado chino, conocido como Lotus Panda, logró comprometer diversas organizaciones en varios países del sudeste asiático durante una campaña que se desarrolló entre mediados de 2024 y principios de 2025. Investigadores de ciberseguridad del equipo de amenazas de Symantec informaron que las entidades afectadas incluían agencias gubernamentales, organizaciones de control del tráfico aéreo, operadores de telecomunicaciones y otras empresas, como una constructora en un país, una agencia de noticias en otro y una organización de carga aérea en un tercero. Sin embargo, los nombres de las víctimas no han sido revelados.
En este ataque, el grupo utilizó malware, cargadores y herramientas de robo de credenciales que nunca antes se habían visto. Se sospecha que Lotus Panda abusó de ejecutables legítimos de empresas antivirus como Trend Micro y Bitdefender, utilizándolos para cargar archivos DLL maliciosos que desglosaban y descifraban cargas útiles de segunda etapa. Además, se informó que el grupo actualizó una herramienta exclusiva llamada Sagerunex, diseñada para robar información sensible y exfiltrarla de manera cifrada a un servidor de terceros, aunque los detalles sobre cómo se realizó la brecha inicial siguen siendo desconocidos.
Entre las herramientas notables empleadas en esta campaña se encuentran infostealers como ChromeKatz y CredentialKatz. Según Symantec, los atacantes desplegaron la herramienta P2P Zrok, utilizando su función de compartición para acceder de manera remota a servicios que estaban expuestos internamente. También se utilizó una herramienta legítima llamada 'datechanger.exe', que puede modificar las marcas de tiempo de los archivos, probablemente para confundir a los analistas de incidentes.
Lotus Panda es un grupo conocido por estar patrocinado por el Estado, a veces reportado bajo los nombres de Billbug, Lotus Blossom, Thrip, Spring Dragon y Bronze Elgin. Este grupo ha estado activo desde 2009, centrando su actividad principalmente en la ciberespionaje, con un enfoque particular en agencias gubernamentales, organizaciones de defensa, empresas de telecomunicaciones y medios de comunicación en el sudeste asiático. También se han registrado ataques de Lotus Panda en Estados Unidos y Australia, lo que sugiere que el grupo podría estar buscando expandir su alcance.
