%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.18%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EMustang Panda Abuses%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ELegitimate Cloud Storage for%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EC2 — Why Trusting a Service…%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
Cuando un grupo APT convierte una herramienta de productividad en su canal de control, la línea entre lo legítimo y lo malicioso se vuelve casi invisible. Eso es exactamente lo que está ocurriendo ahora contra el gobierno de India.
El problema
Según reportó The Hacker News, el grupo de espionaje cibernético Mustang Panda, vinculado a China, ejecuta dos campañas activas contra el gobierno indio y objetivos del sector hidroeléctrico. La unidad de investigación de Acronis detectó compromisos dentro de redes gubernamentales de India, incluyendo máquinas de personal administrativo de alto rango. Lo novedoso del ataque es que los atacantes están usando Zoho WorkDrive —un servicio legítimo de almacenamiento en la nube— como canal de comando y control (C2), mezclando tráfico malicioso con tráfico corporativo normal.
Consecuencias
El riesgo inmediato es la exfiltración de documentos clasificados, planes de infraestructura crítica y comunicaciones internas de alto nivel. Para cualquier gobierno, perder el control sobre las estaciones de trabajo de funcionarios senior implica que decisiones estratégicas pueden estar siendo monitoreadas en tiempo real. Además, al usar un servicio en la nube legítimo, las defensas tradicionales basadas en listas de bloqueo de IP o dominios maliciosos simplemente no detectan la anomalía.
Causas
La causa raíz no es una vulnerabilidad técnica en Zoho WorkDrive, sino la falta de visibilidad sobre qué aplicaciones cloud autorizadas están siendo utilizadas como vector de ataque. Mustang Panda aprovecha que el tráfico hacia WorkDrive es considerado benigno por firewalls y proxies, y lo usa para enviar comandos a sus malware sin levantar sospechas. La causa humana es la ausencia de segmentación de red y monitoreo de comportamiento de aplicaciones SaaS en entornos gubernamentales.