Timitator: hackers de nueva generación atacan la infraestructura crítica de China

Durante el período de 2022 a 2023, el grupo de ciberdelincuentes Timitator (战术模仿者) atacó activamente instituciones energéticas, científicas y militares chinas. Los ataques se realizaron utilizando phishing y otros métodos dirigidos a comprometer los sistemas objetivo.

El grupo Timitator utilizó diversos formatos de archivos maliciosos, como «.exe», «.chm», «.iso» y «.lnk». Tras el lanzamiento exitoso de los archivos infectados, en la primera etapa se cargaba CobaltStrike para establecer una conexión estable, y luego a través de ella se cargaba código malicioso personalizado que permitía evaluar la red y desarrollar planes de ataque individuales para cada dispositivo infectado.

Recientemente, el laboratorio Xunxinfo detectó un nuevo lote de ejemplos de phishing de software malicioso de Timitator. En ellos, en lugar de CobaltStrike, se utilizó una herramienta de gestión remota escrita en Rust. Algunos de estos archivos estaban equipados con firmas falsas de Microsoft y descripciones que los camuflaban como software legítimo.

El grupo Timitator utiliza constantemente la técnica de DLL Sideloading, combinando programas legítimos con bibliotecas maliciosas. Por ejemplo, junto con el sistema de control de temperatura NitroSense se utilizaba la biblioteca maliciosa WTSAPI32.dll, y con el antivirus Bitdefender — Log.dll. Estas bibliotecas maliciosas estaban protegidas por la carcasa VMP, pero su efectividad contra los antivirus se redujo debido a la falta de una firma legítima.

Durante el análisis se determinó que la primera etapa de carga del shellcode coincidía con muestras previamente atribuidas a otro grupo de hackers — OceanLotus. Esto indica una posible conexión entre Timitator y OceanLotus.

Mientras tanto, Timitator continúa atacando activamente importantes instituciones chinas, adaptando sus métodos y herramientas para eludir los sistemas modernos de protección. El uso de nuevas herramientas basadas en Rust, así como la falsificación de firmas, demuestran el alto nivel de preparación e inventiva de los delincuentes.