En una investigación publicada el 19 de octubre, NorForge informó de que había encontrado más de 20 paneles de control de Cairn expuestos que consideró probablemente vinculados a actividad maliciosa. También observó paneles asociados a operaciones de red team aparentemente legítimas y advirtió de que su exposición podía poner en riesgo a sus clientes.

Qué encontró NorForge en los paneles

NorForge describe Cairn como un sistema de resolución de problemas basado en estados: los agentes comparten sus hallazgos en un tablero de proyecto y los utilizan para orientar los pasos siguientes.

La investigación atribuye al clúster de actividad en lengua china AIA0001 más de 1.100 proyectos de ataque distribuidos en 14 paneles. En los datos de paneles expuestos, NorForge encontró cientos de secretos. Trufflehog verificó como válidos el 11 % de ellos. NorForge señala que los paneles podían dejar a la vista resultados de proyectos y credenciales aportadas por sus operadores.

La comprobación de una webshell activa

NorForge revisó una URL indicada en una tarea completada en la web de un proveedor de componentes de hardware y comprobó que servía una webshell activa de carga de archivos. El hallazgo corresponde a esa URL y a ese caso concreto.

Los recuentos de la campaña

Reuters informó de intentos de intrusión contra más de 1.200 sitios web y de más de 100 sitios comprometidos. Estas cifras corresponden a la campaña reportada; los recuentos de proyectos y paneles proceden de la investigación de NorForge.