BACKSPACE

BACKSPACE es una puerta trasera (backdoor) utilizada por el grupo de ciberespionaje APT30 (también conocido como Override Panda), activo desde al menos 2005 y con presuntos vínculos con el gobierno chino . Desarrollado para plataformas Windows, BACKSPACE es una herramienta de acceso remoto altamente sofisticada que ha evolucionado a lo largo de más de una década, dando lugar a múltiples variantes, incluyendo las ramas "ZJ" y "ZR", así como al malware asociado Lecna . Su principal característica es el uso de una arquitectura de Comando y Control (C2) de dos etapas: una primera fase automatizada que permite a los atacantes gestionar víctimas a gran escala, y una segunda fase de interacción directa con el operador para comandos más intrusivos . El backdoor también utiliza HTTP como transporte para sus comunicaciones y puede codificar el tráfico C2 con sistemas personalizados para evadir la detección .

Técnicamente, BACKSPACE emplea múltiples técnicas de persistencia, incluyendo la creación de accesos directos en el directorio CSIDL_STARTUP y, en algunas variantes, el uso de claves del Registro Run . Durante su ejecución inicial, el malware recopila información del sistema (nombre de equipo, versión del SO, dirección IP, configuración de proxy) y la envía al servidor C2 mediante peticiones HTTP POST . El backdoor soporta un amplio conjunto de comandos, incluyendo la ejecución remota de comandos a través de cmd.exe, la transferencia de archivos (descarga y subida), la exploración del sistema de archivos, la enumeración y modificación del Registro de Windows, la terminación de procesos y la creación de una shell inversa . Una de sus variantes, la "ZR", incorpora además la capacidad de eludir firewalls host-based mediante la simulación de clics del ratón en las ventanas de alerta del firewall .

El impacto de BACKSPACE en las víctimas, principalmente entidades gubernamentales del sur y sureste de Asia, ha sido significativo a lo largo de los años. La arquitectura de C2 de dos etapas permite a APT30 gestionar víctimas a gran escala de forma automatizada, seleccionando posteriormente objetivos prioritarios para una interacción directa y personalizada . Los operadores pueden exfiltrar archivos, ejecutar comandos arbitrarios, recolectar información de procesos y del sistema, y mantener acceso persistente y sigiloso durante largos períodos . Las consecuencias incluyen la filtración de información diplomática y estratégica, el compromiso de redes gubernamentales y militares, y la posibilidad de movimiento lateral a través de la red utilizando otras herramientas del arsenal de APT30, como NETEAGLE o FLASHFLOOD . El backdoor está diseñado para permanecer oculto mediante la codificación personalizada de comunicaciones y el uso de mecanismos de limpieza, lo que dificulta su detección y análisis forense .

Funcionamiento de BACKSPACE

1. Ejecución Inicial y Mecanismos de Control

Cuando BACKSPACE se ejecuta en un sistema, comienza con una serie de comprobaciones y configuraciones para garantizar que solo una instancia del malware esté activa y para establecer sus parámetros operativos:

• Creación de Mutex y Eventos: El malware crea mutexes específicos para evitar la ejecución de múltiples copias. Por ejemplo, la variante "ZJ" utiliza el mutex MicrosoftZJ, mientras que la variante "ZR" emplea MicrosoftzjZRLnk . Además, crea eventos como MicrosoftExit y MicrosoftHaveExit que, cuando son señalados, desencadenan la terminación de todos los hilos y del propio malware .
• Modo de Ejecución: BACKSPACE determina su modo de funcionamiento leyendo el valor del Registro hFlag en HKEY_CURRENT_USER\Software\Microsoft\CurrentPnpSetup. Si este valor existe y está configurado como 1, el malware opera en "Run Mode" ; de lo contrario, lo hace en "Hidden Mode" . Si logra cambiar a "Hidden Mode", crea o actualiza el valor hflag a 1 en el Registro .
• Persistencia: Para asegurar su permanencia en el sistema, BACKSPACE crea un acceso directo a sí mismo en el directorio de inicio del usuario (CSIDL_STARTUP), que varía según la versión del sistema operativo . Algunas variantes también utilizan claves del Registro Run para lograr la persistencia .

2. Comunicación C2 de Dos Etapas

La arquitectura de C2 de BACKSPACE es una de sus características más distintivas y permite a APT30 equilibrar el sigilo con la escalabilidad:

Etapa 1: C2 Automatizado

El backdoor está configurado con uno o más dominios C2 de primera etapa (etapa uno). La interacción con esta etapa es completamente automática y no implica comunicación interactiva con el operador . BACKSPACE realiza peticiones HTTP a estos servidores para descargar diferentes archivos que contienen instrucciones básicas o información sobre la segunda etapa . Por ejemplo, solicita archivos como:

• /hostlist.txt: Lista de víctimas y comprobación de validación.
• /edih.txt: Instrucciones para cambiar a modo "oculto".
• /nur.txt: Instrucciones para cambiar a modo "activo".
• /dizhi.gif: Información del C2 de segunda etapa (dirección IP y puerto).
• /connect.gif: Lista de víctimas autorizadas para conectarse al controlador de segunda etapa .
• /app.txt o /myapp.txt: Archivos para descargar y ejecutar.
• /exe.txt: Actualización del propio malware .

Etapa 2: C2 Interactivo

Cuando BACKSPACE recibe la instrucción de conectarse al C2 de segunda etapa (por ejemplo, al obtener y procesar /connect.gif), intenta establecer una conexión con el controlador de BACKSPACE . Esta conexión permite a los operadores interactuar directamente con la víctima y enviar comandos en tiempo real . La dirección IP y el puerto para esta conexión se obtienen típicamente del archivo /dizhi.gif descargado en la etapa anterior . Una vez establecida la conexión, el backdoor envía un resumen de la víctima (nombre del equipo, IP, versión del SO, etc.) y queda a la espera de comandos interactivos del operador .

3. Codificación y Evasión

BACKSPACE emplea múltiples capas de codificación y ofuscación para proteger sus comunicaciones y dificultar el análisis:

• Codificación de C2: Las variantes más recientes de BACKSPACE codifican las comunicaciones C2 con un sistema personalizado. Esta codificación se realiza mediante dos métodos principales: añadiendo un contador incremental a los bytes, o mediante operaciones XOR y desplazamientos de bits . Los datos binarios transferidos entre la víctima y el servidor C2 de segunda etapa se codifican/decodifican añadiendo un contador incremental y aplicando un XOR con 0x23 .
• Codificación de Nombres de Archivos y Configuración: El malware también codifica información dentro del binario, como los nombres de archivos. Por ejemplo, el nombre del archivo del implant se codifica incrementando el valor hexadecimal de cada carácter ASCII en uno .
• Cadenas Codificadas: Las cadenas sensibles dentro del binario están ofuscadas. Se han observado variantes que utilizan diferentes algoritmos: una variante sustrae i + 7 de cada byte, mientras que otra aplica un XOR con 0x37, resta i + 27, y mantiene el byte dentro del rango de 0-255 . El backdoor también soporta autenticación HTTP Basic y Digest, con cadenas de autenticación codificadas .

4. Comandos y Capacidades

BACKSPACE admite un amplio conjunto de comandos que otorgan a los operadores un control casi total sobre el sistema comprometido. La tabla a continuación resume los comandos más relevantes según el análisis de FireEye y Positive Technologies :

Comando	Descripción
R	Ejecuta una línea de comandos en el sistema utilizando cmd.exe .
J / S	Lee un archivo desde una ubicación y offset especificados, codifica los datos y los envía al servidor C2 .
E / V	Recibe datos codificados del C2 y los escribe en un archivo. El comando V crea el archivo en la carpeta <CSIDL_TEMPLATES> y lo ejecuta .
A	Similar a J/S, pero el archivo se elimina del sistema después de la transmisión .
B	Recibe una carpeta y una lista de archivos del C2, busca los archivos y sube la información de cada archivo al servidor .
C	Recopila información sobre los procesos en ejecución (nombre, ruta, propietario, PID, número de hilos) .
D	Recibe una ruta de carpeta, lista de archivos y una flag; elimina los archivos marcados y las carpetas vacías .
F / K	Recibe un PID y termina el proceso correspondiente. El comando F además eleva privilegios antes de terminar .
T	Crea una shell inversa con entrada/salida/error redirigidos a tuberías (pipes) .
a, b, c, d, e	Comandos para enumerar, crear y eliminar claves y valores del Registro de Windows .
Z	Comando de "cancelación"; envía la cadena *lecnaC* al servidor C2 .
N	Recibe una ruta de carpeta del C2, lee el contenido de todos los archivos de esa carpeta y subcarpetas, y los sube al servidor .
U	Elimina el acceso directo MSM.link de la carpeta de inicio .

Después de procesar cada comando, BACKSPACE envía un mensaje de estado al servidor C2: los mensajes que comienzan con '0' indican éxito, y los que comienzan con 'E' indican fallo .

5. Variantes "ZJ" y "ZR"

BACKSPACE tiene dos ramas principales, con diferencias en capacidades y características:

• Variante "ZJ": Es la variante más antigua y documentada. Permite que las infecciones "ZJ link" con acceso a Internet actúen como proxies para reenviar tráfico desde las infecciones "ZJ listen" hacia el servidor de comandos . Es compatible con la mayoría de los comandos descritos anteriormente .
• Variante "ZR": Es una rama más reciente que, aunque compatible con el controlador de BACKSPACE, es una versión más optimizada que puede soportar un subconjunto de los comandos de las versiones "ZJ" . Algunas variantes "ZR" incluyen nuevas características, como la capacidad de eludir firewalls host-based. Para ello, el malware intenta establecer un canal C2, examina las ventanas abiertas para identificar una ventana emergente del firewall y simula un clic del ratón para permitir que la conexión continúe .

Impacto y consecuencias de BACKSPACE

1. Espionaje Gubernamental y Filtración de Información Estratégica

El impacto principal de BACKSPACE es su uso como herramienta de ciberespionaje a largo plazo contra objetivos gubernamentales y diplomáticos. APT30, el grupo que opera este backdoor, ha estado activo desde al menos 2005 y sus ataques se han dirigido principalmente a entidades gubernamentales del sur y sureste de Asia, incluyendo India, Tailandia, Malasia, y otros países de la región . La capacidad de BACKSPACE para exfiltrar archivos, ejecutar comandos remotos y recopilar información del sistema permite a los operadores acceder a documentos diplomáticos, correos electrónicos, planos y otras comunicaciones estratégicas . El uso de señuelos con temática diplomática, como el documento "AGENDA.docx" que contenía la agenda de una reunión de un departamento del gobierno malasio, confirma el enfoque del grupo en la recolección de inteligencia política y militar .

2. Mantenimiento de Acceso Persistente y Sigiloso

La arquitectura de C2 de dos etapas y las técnicas de codificación de BACKSPACE tienen consecuencias significativas para la defensa:

• Detección Eludida: El uso de HTTP hacia dominios legítimos y la codificación personalizada de las comunicaciones hacen que el tráfico de BACKSPACE sea difícil de distinguir del tráfico web normal . Esto permite que el malware opere durante largos períodos sin ser detectado por firewalls y sistemas de prevención de intrusiones (IDS/IPS) .
• Gestión de Víctimas a Escala: La etapa automatizada de C2 permite a APT30 gestionar un gran número de víctimas de forma eficiente. Los servidores de primera etapa pueden servir como un "punto de encuentro" donde las nuevas infecciones se registran automáticamente, permitiendo a los operadores revisar y seleccionar objetivos prioritarios para una interacción más intensiva en la segunda etapa .
• Persistencia y Limpieza: La creación de accesos directos en el inicio y el uso de mecanismos de autodestrucción y limpieza de archivos temporales aseguran que el malware pueda sobrevivir a reinicios y que los rastros de su actividad sean mínimos, complicando el análisis forense .

3. Consecuencias para los Defensores

El análisis de BACKSPACE revela varias lecciones clave para los equipos de seguridad:

• Monitoreo de Tráfico HTTP: Dado que BACKSPACE utiliza HTTP para sus comunicaciones C2, es crucial monitorear el tráfico HTTP saliente, especialmente las solicitudes GET y POST a dominios o rutas no habituales. La inspección de los User-Agent y la detección de patrones de solicitudes periódicas a archivos con nombres sospechosos (como hostlist.txt, dizhi.gif, connect.gif) pueden proporcionar pistas de actividad maliciosa .
• Análisis de Cadenas Codificadas: Los analistas deben ser conscientes de que las cadenas dentro de los binarios de BACKSPACE pueden estar codificadas mediante algoritmos simples de sustracción o XOR . Extraer y decodificar estas cadenas es un paso crítico para identificar dominios C2 y la funcionalidad del malware.
• Detección de Persistencia: La búsqueda de accesos directos sospechosos en el directorio de inicio del usuario (CSIDL_STARTUP) y de tareas programadas con nombres como WindowsVaultSyncService (utilizado en variantes modernas) puede ayudar a identificar infecciones .
• Investigación de Pistas de Desarrollo: La presencia de rutas de compilación y nombres de proyectos en los binarios (como D:\WorkSources\RHttpCtrl\Server\Release\svchost.pdb) puede proporcionar información valiosa sobre los desarrolladores y sus entornos de trabajo, facilitando la atribución y el análisis .

4. Evolución y Desarrollo Continuo

La existencia de variantes "ZJ" y "ZR", junto con la observación de herramientas nuevas como RHttpCtrl y RCtrl (desarrolladas por APT30 y utilizadas en conjunto con BACKSPACE), demuestra que el grupo continúa invirtiendo en el desarrollo de su arsenal . Aunque no se ha documentado un caso de BACKSPACE en ataques recientes tan llamativos como el de Axios, la persistencia y adaptación de APT30 indican que el backdoor sigue siendo una herramienta relevante en su repertorio, y que los defensores deben mantener la vigilancia y actualizar sus estrategias de detección para hacer frente a estas amenazas de larga duración .

Origen y motivación de BACKSPACE

BACKSPACE es una puerta trasera desarrollada por el grupo de ciberespionaje APT30, también conocido como Override Panda, una amenaza persistente avanzada activa desde al menos 2005 y que, según evaluaciones de la comunidad de seguridad, tiene presuntos vínculos con el gobierno chino . La motivación principal del grupo es el espionaje y la recolección de inteligencia estratégica, centrándose principalmente en entidades gubernamentales, diplomáticas y militares del sur y sureste de Asia, incluyendo India, Tailandia y Malasia . Su objetivo es obtener acceso a información sensible, como documentos diplomáticos, comunicaciones internas y planos militares, para apoyar los intereses geopolíticos de China en la región .