O cenário de ameaças cibernéticas de 2025 tem sido marcado por uma escalada nas atividades do grupo de espionagem chinês Murky Panda, também conhecido como Silk Typhoon. Segundo Adam Meyers, a CrowdStrike registrou um aumento tão significativo nas operações do grupo que seus especialistas passaram a se referir ao período como o "verão de Murky Panda", em referência à intensa atividade do grupo a época de verão no hemisfério norte.

O Murky Panda se destaca entre as ameaças disponíveis no mercado por conta da sua especialização em comprometer ambientes cloud e por ser um dos poucos grupos que exploram relacionamentos de confiança entre organizações e tenants com o objetivo de efetuar uma movimentação lateral nos sistemas afetados. O Microsoft Entra ID -- plataforma de gerenciamento de identidade e acesso baseada em nuvem da big tech -- também é um dos alvos desses atacantes, uma vez que centraliza o acesso a recursos corporativos. Segundo investigações, suas investidas têm como alvo empresas de tecnologia, escritórios de advocacia e organizações governamentais, mas a SEK ressalta que outras companhias, fora de tais ramos, também podem ser atingidas.

Esta tendência se alinha diretamente com previsões da SEK, apontadas no Think Ahead Report 2025, que identificaram que a segurança em nuvem deveria ser "a prioridade número um para empresas que desejam sobreviver no cenário digital." Neste Boletim de Inteligência, a equipe de Cyber Threat Intelligence da SEK busca analisar as táticas empregadas pelo Murky Panda, apresentar o impacto de suas campanhas no cenário de segurança atual e fornecer recomendações práticas para organizações latino-americanas que dependem de infraestruturas cloud.

Apesar de ter ganhado espaço na mídia nos últimos meses, o Murky Panda opera como um braço técnico das operações de inteligência da China. Segundo investigações, a denominação, no entanto, é somente uma das várias identidades do grupo, que também opera sob o nome Silk Typhoon, nomenclatura criada pela Microsoft e que substituiu a designação anterior HAFNIUM.

O grupo ganhou notoriedade internacional durante uma campanha descoberta pela Microsoft ainda em 2021. Naquele ano, o grupo que hoje conhecemos como Murky Panda organizou uma onda de ataques ao redor do mundo que explorava simultaneamente várias zero-days no Microsoft Exchange Server.

As vulnerabilidades CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, e CVE-2021-27065 foram utilizadas pelos atacantes para obtenção de acesso inicial aos servidores afetados. Depois da invasão, os operadores implantavam web shells no ambiente, com objetivo de manter o acesso prolongado, e roubavam informações sigilosas disponíveis nos dispositivos. Naquele ano, a Microsoft precisou realizar diversas alterações em seu blog oficial, que notificava a exploração das falhas. As atualizações de conteúdo foram, em sua maioria, textos que chamavam atenção para a exploração ativa das vulnerabilidades em servidores que ainda não tinham aplicado as correções disponibilizadas.

O alcance e a simultaneidade dos ataques sugeriram, desde então, que o grupo operava com muitos recursos. Conforme documentado pela CrowdStrike, "as operações do MURKY PANDA são provavelmente direcionadas por objetivos de coleta de inteligência para obter acesso a informações sensíveis". Diferentemente de grupos criminosos tradicionais, que priorizam monetização rápida através de ransomware ou fraudes financeiras, o Murky Panda demonstra interesse em manter acesso silencioso aos sistemas das vítimas, exfiltrando comunicações, documentos estratégicos e propriedade intelectual.

Com o passar do tempo, o grupo desenvolveu suas habilidades técnicas e continuou sob o radar de gigantes como a Microsoft. Uma mudança significativa na abordagem do grupo foi documentada diretamente pela Microsoft em 5 de março de 2025. Desde o final de 2024, o ator de ameaça passou a explorar a cadeia de suprimentos de TI, com foco principal em soluções de gerenciamento remoto ou aplicações cloud.

O relatório "Silk Typhoon targeting IT supply chain", da Microsoft, apontou como o grupo passou a explorar tal cadeia, abusando de chaves de API e credenciais associadas a provedores de cloud e ao gerenciamento de acesso privilegiado (PAM) -- prática comum de segurança criada para limitar o risco de contas de níveis como admin ou system. Tudo isso não é por acaso. Uma vez com acesso às chaves dessas organizações, o Murky Panda consegue acessar os ambientes de clientes das empresas inicialmente comprometidas, aumentando seu alcance.

Depois do comprometimento, o Murky Panda segue um padrão específico, documentado pela Microsoft. Primeiro, o grupo utiliza as chaves roubadas para acessar diretamente os tenants e ambientes de clientes das companhias, contornando os controles de segurança destes alvos. Depois, executa um reconhecimento dos ambientes por meio de contas com nível administrativo. Por fim, implementa técnicas variadas de persistência que incluem o reset das contas administrativas através das chaves de API, implementação de web shells, além da limpeza de logs para remover as evidências de suas atividades.

Embora o padrão de operações do Murky Panda tenha sido mapeado pela Microsoft, as investigações mais recentes da CrowdStrike revelaram um nível de sofisticação que vai além das técnicas tradicionais de comprometimento de cloud. A partir de então, surgiu o período que o vice-presidente sênior de operações de contra-ataque da CrowdStrike, Adam Meyers, descreveu como "o verão do Murky Panda".

Durante este período de atividades recorrentes do grupo, o Murky Panda conseguiu dominar invasões relacionadas ao comprometimento de relações de confiança nos ambientes de armazenamento em nuvem. Assim, o grupo consegue identificar fornecedores estratégicos que mantêm relacionamentos com dezenas ou centenas de clientes ao longo da cadeia de produção, e pode atingi-los com somente um vetor de entrada. Sob análise da Cyble, as invasões na cadeia de produção já aumentaram mais de 25% no período de outubro de 2024 a maio de 2025, sendo focadas, em sua maioria, nas empresas de tecnologia, TI e outros setores -- os quais são similares aos que o Murky Panda tem como alvo principal.

O Murky Panda é um dos poucos casos de atores de ameaça que exploram tais relações para invadir ambientes cloud. A escolha desse método leva em consideração que o grupo busca diminuir as suas chances de ser detectado no ambiente do cliente, e, por consequência, prolongar o acesso no sistema invadido.

Segundo a CrowdStrike, "esse vetor de acesso inicial ao ambiente de nuvem da vítima permanece relativamente submonitorado em comparação a vetores de acesso inicial mais proeminentes, como contas de nuvem válidas e exploração de aplicativos públicos". É possível afirmar que esse problema da falta de visibilidade se dá porque muitas empresas se apressaram para implementar armazenamentos em cloud ao longo dos últimos anos, mas ainda não têm o entendimento completo sobre o funcionamento desses ambientes.

A CrowdStrike documentou detalhadamente pelo menos dois casos nos quais o Murky Panda demonstrou capacidade para explorar vulnerabilidades zero-day especificamente em provedores de Software-as-a-Service (SaaS).

A seleção destes alvos leva à conclusão de que o grupo considera o fato de que provedores SaaS mantêm acesso autorizado aos dados e sistemas de seus clientes por precisarem conduzir suas operações. No Think Ahead Report 2025, a SEK também já demonstrou como ataques a fornecedores são capazes de comprometer ecossistemas inteiros -- justamente o que ocorre nas invasões do Murky Panda.

O processo inicia-se com o comprometimento do ambiente cloud do provedor SaaS por meio da exploração de uma zero-day. Contudo, diferentemente de grupos APT tradicionais que procedem imediatamente à exfiltração de dados, o Murky Panda investe tempo para compreender informações sobre os ambientes cloud comprometidos. Este processo envolve o mapeamento de arquiteturas, a identificação de relacionamentos entre aplicações e a análise detalhada dos mecanismos de autenticação que permitem ao provedor SaaS acessar os ambientes de seus clientes.

Em um caso específico analisado pela CrowdStrike, o provedor SaaS comprometido utilizava o Microsoft Entra ID para gerenciar o acesso de sua aplicação aos dados de clientes.

Na invasão, o Murky Panda conseguiu obter acesso ao application registration secret do provedor -- essencialmente a chave mestra que permite à aplicação SaaS autenticar-se nos tenants Entra ID de todos os clientes.

A mecânica desta técnica explora uma característica específica do Entra ID. "aplicações SaaS são definidas por um tipo de template - referido como application registration - que reside no tenant Entra do criador da aplicação." Com controle sobre o application registration secret, o Murky Panda pode autenticar-se como os service principals desta aplicação em todos os clientes. Como consequência, o acesso aparenta ser uma atividade completamente normal da aplicação SaaS, contornando alertas de segurança tradicionais e permitindo a coleta de dados sem detecção.

A segunda categoria de trusted-relationship compromise documentada pela CrowdStrike demonstra compreensão ainda mais profunda do ecossistema Microsoft. O grupo conseguiu comprometer um Microsoft Cloud Solution Provider (CSP), isto é, um participante oficial do programa de parceiros da Microsoft que, por definição do regulamento, precisa ter acesso aos tenants do Microsoft Entra de seus clientes.

No caso específico analisado pela CrowdStrike, o Murky Panda comprometeu um usuário membro do grupo Admin Agent, obtendo instantaneamente privilégios de nível Global Administrator em todos os tenants de clientes do provedor afetado.

Com privilégios de Global Administrator estabelecidos, o ator de ameaça criou temporariamente um usuário no tenant da vítima e adicionou este user a diversos grupos preexistentes.

Neste caso, o problema é que a seleção de grupos também não foi aleatória. Um dos grupos escolhidos fornecia privilégios de Application Administrator ao usuário, permitindo, por consequência, que o Murky Panda adicionasse credenciais a service principals -- entidades com permissões -- já estabelecidos no ambiente da vítima. Do ponto de vista dos atacantes, essa abordagem evita a criação de novas aplicações suspeitas e diminui as chances de detecção.

Com controle sobre os novos secrets adicionados aos service principals existentes, o Murky Panda pode autenticar-se como service principals, escalando seus privilégios para aqueles das identidades comprometidas. A CrowdStrike documentou que os service principals selecionados pelo grupo incluíam especificamente privilégios de leitura de e-mails, que se alinhavam diretamente aos objetivos de coleta de inteligência do grupo, e privilégios para adição de secrets a outros service principals e application registrations, estabelecendo vários pontos de persistência no ambiente da vítima.

Além de informações gerais sobre os ataques realizados pelo Murky Panda, é importante destacar seu funcionamento com foco em suas táticas, técnicas e procedimentos (TTPs), considerando que este é um grupo capaz de passar desapercebido pelos sistemas de detecção e persistir nos ambientes cloud atuais.

O Murky Panda se caracteriza também pela capacidade de transformar vulnerabilidades n-day e zero-day em ferramentas que facilitem suas operações. Conforme documentado pela CrowdStrike e Microsoft, o grupo demonstrou agilidade excepcional na exploração de falhas críticas, incluindo:

• CVE-2023-3519: Vulnerabilidade de execução remota de código não autenticada que afeta Citrix NetScaler ADC e NetScaler Gateway. O grupo explorou esta falha para comprometer múltiplas organizações, estabelecendo pontos de entrada em infraestruturas críticas.
• CVE-2025-0282: Falha de execução remota de código que atinge o Ivanti Pulse Connect VPN. O Murky Panda utilizou a vulnerabilidade para invadir servidores expostos ao público sem necessidade de autenticação.

Além das vulnerabilidades conhecidas, o grupo também obtém acesso inicial através de ataques bem-sucedidos de passwordspray -- quando o invasor testa um grande número de senhas na mesma conta, até encontrar a correta, -- e outras técnicas, incluindo a descoberta de credenciais através de reconhecimento em repositórios públicos como o GitHub.

O Murky Panda também mantém foco em fornecedores de serviços de software e terceiros vulneráveis, como soluções de TI e RMM.

Uma vez estabelecido o acesso inicial, o Murky Panda utiliza consistentemente web shells, incluindo o Neo-reGeorg, frequentemente empregado por adversários ligados à China. Estas ferramentas permitem execução de comandos, manutenção de persistência e exfiltração de dados dos ambientes das vítimas.

Segundo investigações, o grupo também possui acesso ao CloudedHope, um malware customizado analisado pela CrowdStrike que consiste em um executável ELF de 64 bits desenvolvido em Golang e projetado especificamente para sistemas Linux. O CloudedHope implementa funcionalidades básicas de uma Remote Access Tool (RAT), uma categoria de malware que permite aos atacantes controlar remotamente sistemas comprometidos, executar comandos, transferir arquivos e monitorar atividades. Enquanto isso, são empregadas várias técnicas anti-análise, projetadas para dificultar que pesquisadores estudem o comportamento do malware.

Ainda em relação ao CloudedHope, o malware utiliza comparações baseadas em checksum. Ou seja, verifica se está sendo executado no sistema alvo, no entanto, caso detecte que está sendo analisado em um laboratório, executa uma ação de distração e oculta suas capacidades reais dos pesquisadores. Ao implementar essas verificações, o CloudedHope pode operar normalmente em sistemas das vítimas enquanto se comporta de forma benigna quando detecta tentativas de análise.

Como já apontado neste Boletim, o grupo Murky Panda demonstra ter compreensão sobre as arquiteturas das companhias, ao se mover de ambientes locais para aqueles em nuvem.

Em algumas invasões, o grupo visou servidores do Microsoft Entra Connect, um alvo que, quando comprometido, permite ao ator de ameaça escalar privilégios, acessar simultaneamente ambientes locais e cloud, e mover-se lateralmente entre diferentes domínios de segurança.

Uma das técnicas mais sofisticadas documentadas pela Microsoft envolve o abuso de service principals e aplicações OAuth com permissões administrativas para exfiltrar dados de email, OneDrive e SharePoint via MSGraph. O processo específico inclui obter acesso a uma aplicação já dentro do tenant para coleta de dados de email, adicionar suas próprias credenciais à aplicação, e usar este acesso para roubar informações via API MSGraph.

O grupo foi observado comprometendo aplicações multi-tenant, uma técnica que potencialmente permite movimento através de diferentes tenants, acesso a recursos adicionais dentro dos tenants e exfiltração de dados. Em algumas instâncias, o grupo cria aplicações Entra ID especificamente para facilitar roubo de dados, tipicamente nomeando essas aplicações de forma a se misturarem ao ambiente usando nomenclaturas que evocam serviços legítimos ou temas do Office 365.

Os Indicadores de Comprometimento (IoCs) relacionados a este grupo estão disponíveis neste link.

O Murky Panda faz parte da evolução dos APTs patrocinados por Estado-nações, sendo responsável por demonstrar como grupos sofisticados conseguem transformar os relacionamentos comerciais de confiança entre companhias e seus fornecedores em vetores de espionagem e ataques. As técnicas de trusted-relationship compromise desenvolvidas pelo grupo materializam os riscos antecipados pelo Think Ahead Report 2025 da SEK, ao mesmo tempo que confirmou que "o pensamento de Cloud Security First deixa de ser um diferencial e passa a ser um requisito para garantir a continuidade dos negócios".

Ainda que as invasões não sejam focadas em empresas localizadas na América Latina, as implicações continuam críticas. O uso de infraestruturas cloud híbridas na região, bem como a dependência de fornecedores acaba criando superfícies de ataques que podem, por certo, ser exploradas por esses e outros invasores. Quando um provedor americano, por exemplo, é atingido em outro continente, organizações latino-americanas que utilizam seus serviços podem automaticamente tornar-se alvos secundários.

A emergência do grupo como um especialista em trusted-relationship compromises deve funcionar como prova para que organizações não confiem mais totalmente em relacionamentos comerciais estabelecidos. Dessa forma, a segurança deve assumir que qualquer parceiro, fornecedor ou provedor de serviços pode representar um vetor de ataque e potencial -- o que, em consequência, precisa pedir por uma revisão das estratégias de defesa das organizações.

A sofisticação demonstrada pelo Murky Panda em suas campanhas de trusted-relationship compromise exige uma abordagem defensiva, assim como abordamos outras ameaças. Como visto, a CrowdStrike observou atividade significativa conduzida pelo Murky Panda, com o grupo demonstrando conhecimento extensivo de ambientes cloud.

As recomendações a seguir baseiam-se nas melhores práticas da indústria e integram os serviços especializados oferecidos pela SEK para enfrentar especificamente as técnicas empregadas por este grupo de APT.

A principal vulnerabilidade explorada pelo Murky Panda está nos relacionamentos comerciais estabelecidos entre organizações e seus fornecedores cloud. Empresas devem realizar auditorias sistemáticas de todos os parceiros que possuem acesso privilegiado aos seus ambientes, questionando se cada nível de acesso é realmente necessário e se os controles de segurança destes fornecedores são adequados.

É essencial mapear todos os relacionamentos DAP/GDAP (Delegated Admin Privileges/Granular Delegated Admin Privileges) estabelecidos com Microsoft Cloud Solution Providers e outros parceiros tecnológicos. Organizações devem implementar processos rigorosos de due diligence que avaliem não apenas a segurança técnica, mas também a resiliência cibernética de fornecedores críticos. Esta avaliação abrangente pode ser estruturada através do Third Party Risk Management da SEK, que tem como objetivo identificar, avaliar e mitigar riscos cibernéticos associados à cadeia de suprimentos e terceiros.

O comprometimento de service principals representa um dos vetores de ataque mais críticos utilizados pelo Murky Panda. Organizações devem implementar auditoria contínua de todas as credenciais de service principals no Microsoft Entra ID, prestando atenção especial a credenciais recém-adicionadas ou modificadas.

É fundamental habilitar os logs de atividade do Microsoft Graph para obter visibilidade completa sobre quais recursos estão sendo acessados por cada service principal. As organizações devem estabelecer alertas para atividades que desviem do padrão esperado, como acessar recursos inesperados ou originar logins de redes não autorizadas. A implementação dessas práticas pode ser estruturada através do Cloud Assessment da SEK -- tal serviço combina a análise das práticas aplicadas ao ambiente de nuvem e a análise técnica das configurações.

O modelo Zero Trust é fundamental para combater técnicas de trusted-relationship compromise, pois elimina a confiança implícita em qualquer componente do sistema. Organizações devem tratar cada service principal, aplicação e usuário como potencialmente comprometido, exigindo verificação contínua de identidade e contexto.

Isso inclui implementar Conditional Access rigoroso e segregar ambientes sempre que possível. A arquitetura deve assumir que um incidente eventualmente ocorrerá e, portanto, limitar o escopo de danos através de segmentação e controles de acesso.

Considerando que o Murky Panda opera com persistência, incluindo limpeza de logs e modificação de timestamps, organizações necessitam de capacidades avançadas de detecção que vão além do monitoramento tradicional.

O monitoramento deve focar especificamente em padrões de acesso anômalos, criação não autorizada de credenciais, e movimentação lateral entre tenants. Sistemas de detecção devem ser configurados para identificar tentativas de mascaramento de aplicações maliciosas através de nomenclaturas que imitam serviços legítimos do Office 365. Para isso, a SEK oferece serviços de MDR, com capacidade 24/7, os quais proporcionam monitoramento contínuo especializado em detectar atividades suspeitas.

O grupo demonstra capacidade para explorar vulnerabilidades zero-day e n-day, tornando crítica a gestão proativa de vulnerabilidades. Organizações devem implementar programas de gerenciamento de vulnerabilidades que priorizem correções baseadas no contexto de exploração real, não somente na criticidade teórica.

É fundamental manter configurações de segurança alinhadas com benchmarks como CIS Controls, implementar hardening contínuo de infraestruturas cloud, e assegurar que aplicações ligadas à internet sejam regularmente testadas contra técnicas de comprometimento. A gestão deve incluir monitoramento de supply chain attacks e avaliação contínua de fornecedores críticos. Essas práticas podem ser estruturadas através do Continuous Threat Management, responsável pela identificação, priorização e gerenciamento de vulnerabilidades, e Posture Management da SEK.

Dado o histórico do Murky Panda de manter acesso prolongado e sigiloso em ambientes comprometidos, organizações devem estar preparadas para cenários onde o compromisso já ocorreu. Isso requer desenvolvimento de playbooks específicos para trusted-relationship attacks, incluindo procedimentos para isolamento rápido de tenants comprometidos e revogação em massa de credenciais de service principals.

Planos de resposta devem considerar a natureza dos ataques, em que o comprometimento de um provedor pode afetar múltiplos clientes simultaneamente. Organizações devem testar estes planos através de simulações realistas que incluam cenários de comprometimento de fornecedores críticos. Esta preparação pode ser desenvolvida através de exercícios de TableTop da SEK.

Embora o Murky Panda seja um grupo técnico sofisticado, vetores de acesso inicial ainda incluem técnicas tradicionais como password spraying e descoberta de credenciais em repositórios públicos. Colaboradores devem ser treinados especificamente sobre os riscos únicos de ambientes cloud híbridos e a importância de práticas seguras de gestão de código.

Programas de conscientização devem incluir treinamento sobre reconhecimento de tentativas de compromise através de aplicações legítimas comprometidas e entendimento de como ataques podem se propagar através de relacionamentos de confiança organizacionais. A implementação pode ser apoiada pelo Security Awareness Service da SEK.

Grupos sofisticados como o Murky Panda evoluem constantemente suas técnicas, adaptando-se rapidamente a novos ambientes tecnológicos e contornando medidas de segurança implementadas pelas organizações. O "verão de Murky Panda" descrito pela CrowdStrike demonstra como a atividade de grupos APT pode intensificar-se em períodos específicos, exigindo que organizações mantenham-se atualizadas sobre as últimas tendências e técnicas observadas no cenário global de ameaças.

É fundamental que empresas estabeleçam processos estruturados para consumir, analisar e aplicar inteligência de ameaças em suas operações de segurança. A estruturação desse processo de inteligência contínua pode ser apoiada pelos serviços de Cyber Threat Intelligence da SEK, responsável pela criação de materiais como este Boletim de Inteligência e outras investigações.

A implementação eficaz dessas recomendações requer uma abordagem coordenada que combine expertise técnica, processos organizacionais, e tecnologias de ponta. As companhias devem priorizar essas iniciativas considerando que a sofisticação de grupos como o Murky Panda continuará evoluindo, tornando essencial uma postura de segurança verdadeiramente adaptativa e resiliente.

• SEK | Think Ahead Report 2025
• IoCs MurkyPanda
• CrowdStrike
• Microsoft Security Blog
• CyberScoop
• Cyble
• Help Net Security
• SecurityWeek
• The Hacker News

El panorama de amenazas cibernéticas de 2025 ha sido marcado por una escalada en las actividades del grupo de espionaje chino Murky Panda, también conocido como Silk Typhoon. Según Adam Meyers, CrowdStrike registró un aumento tan significativo en las operaciones del grupo que sus especialistas comenzaron a referirse al período como el "verano de Murky Panda", haciendo referencia a la intensa actividad del grupo durante la temporada de verano en el hemisferio norte.

Murky Panda se destaca entre las amenazas disponibles en el mercado debido a su especialización en comprometer entornos cloud y por ser uno de los pocos grupos que explotan relaciones de confianza entre organizaciones y tenants con el objetivo de realizar movimiento lateral en sistemas afectados. Microsoft Entra ID -- la plataforma de gestión de identidad y acceso basada en la nube de la gran empresa tecnológica -- también es uno de los objetivos de estos atacantes, ya que centraliza el acceso a recursos corporativos. Según investigaciones, sus ataques tienen como objetivo empresas tecnológicas, bufetes de abogados y organizaciones gubernamentales, pero SEK enfatiza que otras empresas fuera de estos sectores también pueden ser afectadas.

Esta tendencia se alinea directamente con las predicciones de SEK descritas en el Think Ahead Report 2025, que identificó que la seguridad en la nube debería ser "la prioridad número uno para las empresas que desean sobrevivir en el panorama digital." En este Boletín de Inteligencia, el equipo de Cyber Threat Intelligence de SEK busca analizar las tácticas empleadas por Murky Panda, presentar el impacto de sus campañas en el panorama de seguridad actual y proporcionar recomendaciones prácticas para organizaciones latinoamericanas que dependen de infraestructuras cloud.

A pesar de ganar atención mediática en los últimos meses, Murky Panda opera como un brazo técnico de las operaciones de inteligencia de China. Según investigaciones, esta designación es solo una de varias identidades del grupo, que también opera bajo el nombre Silk Typhoon, una nomenclatura creada por Microsoft que reemplazó la designación anterior HAFNIUM.

El grupo ganó notoriedad internacional durante una campaña descubierta por Microsoft en 2021. Ese año, el grupo que ahora conocemos como Murky Panda organizó una ola de ataques alrededor del mundo que explotó simultáneamente varios zero-days en el Microsoft Exchange Server.

Las vulnerabilidades CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, y CVE-2021-27065 fueron utilizadas por los atacantes para acceso inicial a servidores afectados. Después de la intrusión, los operadores desplegaron web shells en el entorno para mantener acceso prolongado y robaron información confidencial disponible en los dispositivos. Ese año, Microsoft tuvo que realizar varios cambios en su blog oficial notificando sobre la explotación de las fallas. Las actualizaciones de contenido fueron principalmente textos que llamaron la atención sobre la explotación activa de vulnerabilidades en servidores que aún no habían aplicado las correcciones disponibles.

El alcance y simultaneidad de los ataques sugirieron desde el principio que el grupo operaba con recursos significativos. Como documentó CrowdStrike, "las operaciones de MURKY PANDA probablemente están impulsadas por objetivos de recopilación de inteligencia para obtener acceso a información sensible." A diferencia de grupos criminales tradicionales que priorizan la monetización rápida a través de ransomware o fraude financiero, Murky Panda demuestra interés en mantener acceso silencioso a los sistemas de las víctimas, exfiltrando comunicaciones, documentos estratégicos y propiedad intelectual.

Con el tiempo, el grupo desarrolló sus habilidades técnicas y continuó bajo el radar de gigantes como Microsoft. Un cambio significativo en el enfoque del grupo fue documentado directamente por Microsoft el 5 de marzo de 2025. Desde finales de 2024, el actor de amenaza comenzó a explotar la cadena de suministro de TI, con enfoque principal en soluciones de gestión remota o aplicaciones cloud.

El informe "Silk Typhoon targeting IT supply chain" de Microsoft señaló cómo el grupo comenzó a explotar esta cadena, abusando de claves de API y credenciales asociadas con proveedores cloud y gestión de acceso privilegiado (PAM) -- una práctica común de seguridad creada para limitar el riesgo de cuentas en niveles como admin o system. Esto no es casualidad. Una vez con acceso a las claves de estas organizaciones, Murky Panda puede acceder a los entornos de clientes de las empresas inicialmente comprometidas, aumentando su alcance.

Después del compromiso, Murky Panda sigue un patrón específico documentado por Microsoft. Primero, el grupo utiliza claves robadas para acceder directamente a tenants y entornos de clientes de empresas, evadiendo los controles de seguridad de estos objetivos. Luego, realiza reconocimiento del entorno a través de cuentas de nivel administrativo. Finalmente, implementa varias técnicas de persistencia que incluyen reiniciar cuentas administrativas a través de claves de API, implementar web shells, y limpiar logs para eliminar evidencia de sus actividades.

Aunque el patrón operacional de Murky Panda fue mapeado por Microsoft, las investigaciones más recientes de CrowdStrike revelaron un nivel de sofisticación que va más allá de las técnicas tradicionales de compromiso cloud. A partir de entonces, emergió el período que el vicepresidente senior de operaciones contra-adversarios de CrowdStrike, Adam Meyers, describió como "el verano de Murky Panda".

Durante este período de actividades recurrentes del grupo, Murky Panda dominó invasiones relacionadas con comprometer relaciones de confianza en entornos de almacenamiento en la nube. Así, el grupo puede identificar proveedores estratégicos que mantienen relaciones con decenas o cientos de clientes a lo largo de la cadena de producción y puede alcanzarlos con solo un vector de entrada. Bajo el análisis de Cyble, las invasiones de cadena de suministro ya han aumentado más del 25% en el período de octubre de 2024 a mayo de 2025, enfocándose principalmente en empresas de tecnología, TI y otros sectores -- que son similares a los objetivos principales de Murky Panda.

Murky Panda es uno de los pocos casos de actores de amenaza que explotan tales relaciones para invadir entornos cloud. La elección de este método considera que el grupo busca reducir sus posibilidades de ser detectado en el entorno del cliente y, consecuentemente, prolongar el acceso al sistema invadido.

Según CrowdStrike, "este vector de acceso inicial al entorno cloud de la víctima permanece relativamente sub-monitoreado en comparación con vectores de acceso inicial más prominentes, como cuentas cloud válidas y explotación de aplicaciones públicas." Es posible afirmar que este problema de visibilidad ocurre porque muchas empresas se apresuraron a implementar almacenamiento cloud durante los últimos años pero aún no tienen una comprensión completa de cómo funcionan estos entornos.

CrowdStrike documentó en detalle al menos dos casos en los que Murky Panda demostró capacidad para explotar vulnerabilidades zero-day específicamente en proveedores de Software-as-a-Service (SaaS).

La selección de estos objetivos lleva a la conclusión de que el grupo considera el hecho de que los proveedores SaaS mantienen acceso autorizado a los datos y sistemas de sus clientes para conducir sus operaciones. En el Think Ahead Report 2025, SEK también demostró cómo los ataques a proveedores pueden comprometer ecosistemas enteros -- exactamente lo que ocurre en las invasiones de Murky Panda.

El proceso comienza con el compromiso del entorno cloud del proveedor SaaS a través de la explotación de un zero-day. Sin embargo, a diferencia de grupos APT tradicionales que proceden inmediatamente a la exfiltración de datos, Murky Panda invierte tiempo para comprender información sobre los entornos cloud comprometidos. Este proceso involucra el mapeo de arquitecturas, la identificación de relaciones entre aplicaciones y el análisis detallado de los mecanismos de autenticación que permiten al proveedor SaaS acceder a los entornos de sus clientes.

En un caso específico analizado por CrowdStrike, el proveedor SaaS comprometido utilizaba Microsoft Entra ID para gestionar el acceso de su aplicación a los datos de clientes.

En la invasión, Murky Panda logró obtener acceso al application registration secret del proveedor -- esencialmente la clave maestra que permite a la aplicación SaaS autenticarse en todos los tenants Entra ID de los clientes.

La mecánica de esta técnica explota una característica específica de Entra ID. "las aplicaciones SaaS se definen por un tipo de plantilla - referida como application registration - que reside en el tenant Entra del creador de la aplicación." Con control sobre el application registration secret, Murky Panda puede autenticarse como los service principals de esta aplicación en todos los clientes. Como consecuencia, el acceso parece ser una actividad completamente normal de la aplicación SaaS, evadiendo alertas de seguridad tradicionales y permitiendo la recopilación de datos sin detección.

La segunda categoría de trusted-relationship compromise documentada por CrowdStrike demuestra una comprensión aún más profunda del ecosistema Microsoft. El grupo logró comprometer un Microsoft Cloud Solution Provider (CSP), es decir, un participante oficial del programa de socios de Microsoft que, por definición regulatoria, debe tener acceso a los tenants Microsoft Entra de sus clientes.

En el caso específico analizado por CrowdStrike, Murky Panda comprometió un usuario que era miembro del grupo Admin Agent, obteniendo instantáneamente privilegios de nivel Global Administrator en todos los tenants de clientes del proveedor afectado.

Con privilegios de Global Administrator establecidos, el actor de amenaza creó temporalmente un usuario en el tenant de la víctima y agregó este user a varios grupos preexistentes.

En este caso, el problema es que la selección de grupos tampoco fue aleatoria. Uno de los grupos elegidos proporcionó privilegios de Application Administrator al usuario, permitiendo consecuentemente que Murky Panda agregara credenciales a service principals -- entidades con permisos -- ya establecidos en el entorno de la víctima. Desde la perspectiva de los atacantes, este enfoque evita crear nuevas aplicaciones sospechosas y reduce las posibilidades de detección.

Con control sobre nuevos secrets agregados a service principals existentes, Murky Panda puede autenticarse como service principals, escalando sus privilegios a aquellos de las identidades comprometidas. CrowdStrike documentó que los service principals seleccionados por el grupo incluían específicamente privilegios de lectura de correo electrónico, que se alineaban directamente con los objetivos de recopilación de inteligencia del grupo, y privilegios para agregar secrets a otros service principals y application registrations, estableciendo múltiples puntos de persistencia en el entorno de la víctima.

Además de información general sobre los ataques realizados por Murky Panda, es importante destacar su funcionamiento con enfoque en sus tácticas, técnicas y procedimientos (TTPs), considerando que este es un grupo capaz de pasar desapercibido por los sistemas de detección y persistir en entornos cloud actuales.

Murky Panda también se caracteriza por su capacidad de transformar vulnerabilidades n-day y zero-day en herramientas que faciliten sus operaciones. Como documentaron CrowdStrike y Microsoft, el grupo demostró agilidad excepcional en la explotación de fallas críticas, incluyendo:

• CVE-2023-3519: Vulnerabilidad de ejecución remota de código no autenticada que afecta Citrix NetScaler ADC y NetScaler Gateway. El grupo explotó esta falla para comprometer múltiples organizaciones, estableciendo puntos de entrada en infraestructuras críticas.
• CVE-2025-0282: Falla de ejecución remota de código que afecta Ivanti Pulse Connect VPN. Murky Panda utilizó la vulnerabilidad para invadir servidores expuestos públicamente sin requerimientos de autenticación.

Además de vulnerabilidades conocidas, el grupo también obtiene acceso inicial a través de ataques exitosos de password spray -- cuando el invasor prueba un gran número de contraseñas en la misma cuenta hasta encontrar la correcta -- y otras técnicas, incluyendo descubrimiento de credenciales a través de reconocimiento en repositorios públicos como GitHub.

Murky Panda también mantiene enfoque en proveedores de servicios de software y terceros vulnerables, como soluciones de TI y RMM.

Una vez establecido el acceso inicial, Murky Panda utiliza consistentemente web shells, incluyendo Neo-reGeorg, frecuentemente empleado por adversarios vinculados a China. Estas herramientas permiten ejecución de comandos, mantenimiento de persistencia y exfiltración de datos de entornos de víctimas.

Según investigaciones, el grupo también tiene acceso a CloudedHope, un malware personalizado analizado por CrowdStrike que consiste en un ejecutable ELF de 64 bits desarrollado en Golang y diseñado específicamente para sistemas Linux. CloudedHope implementa funcionalidades básicas de una Remote Access Tool (RAT), una categoría de malware que permite a los atacantes controlar remotamente sistemas comprometidos, ejecutar comandos, transferir archivos y monitorear actividades. Mientras tanto, se emplean varias técnicas anti-análisis, diseñadas para dificultar que los investigadores estudien el comportamiento del malware.

Aún en relación con CloudedHope, el malware utiliza comparaciones basadas en checksum. Es decir, verifica si está siendo ejecutado en el sistema objetivo; sin embargo, si detecta que está siendo analizado en un laboratorio, ejecuta una acción de distracción y oculta sus capacidades reales de los investigadores. Al implementar estas verificaciones, CloudedHope puede operar normalmente en sistemas de víctimas mientras se comporta de manera benigna cuando detecta intentos de análisis.

Como ya se señaló en este Boletín, el grupo Murky Panda demuestra tener comprensión sobre las arquitecturas de las empresas al moverse de entornos locales a aquellos en la nube.

En algunas invasiones, el grupo apuntó a servidores Microsoft Entra Connect, un objetivo que, cuando se compromete, permite al actor de amenaza escalar privilegios, acceder simultáneamente a entornos locales y cloud, y moverse lateralmente entre diferentes dominios de seguridad.

Una de las técnicas más sofisticadas documentadas por Microsoft involucra el abuso de service principals y aplicaciones OAuth con permisos administrativos para exfiltrar datos de correo electrónico, OneDrive y SharePoint vía MSGraph. El proceso específico incluye obtener acceso a una aplicación ya dentro del tenant para recopilación de datos de correo electrónico, agregar sus propias credenciales a la aplicación, y usar este acceso para robar información vía la API MSGraph.

El grupo fue observado comprometiendo aplicaciones multi-tenant, una técnica que potencialmente permite movimiento a través de diferentes tenants, acceso a recursos adicionales dentro de tenants, y exfiltración de datos. En algunas instancias, el grupo crea aplicaciones Entra ID específicamente para facilitar el robo de datos, típicamente nombrando estas aplicaciones para mezclarse en el entorno usando nomenclaturas que evocan servicios legítimos o temas de Office 365.

Los Indicadores de Compromiso (IoCs) relacionados con este grupo están disponibles en este enlace.

Murky Panda forma parte de la evolución de los APTs patrocinados por estados-nación, siendo responsable de demostrar cómo grupos sofisticados pueden transformar las relaciones comerciales de confianza entre empresas y sus proveedores en vectores de espionaje y ataques. Las técnicas de trusted-relationship compromise desarrolladas por el grupo materializan los riesgos anticipados por el Think Ahead Report 2025 de SEK, mientras confirman que "el pensamiento de Cloud Security First deja de ser un diferenciador y se convierte en un requisito para garantizar la continuidad del negocio".

Aunque las invasiones no se enfocan en empresas ubicadas en América Latina, las implicaciones siguen siendo críticas. El uso de infraestructuras cloud híbridas en la región, así como la dependencia de proveedores, crea superficies de ataque que ciertamente pueden ser explotadas por estos y otros invasores. Cuando un proveedor estadounidense, por ejemplo, es afectado en otro continente, las organizaciones latinoamericanas que usan sus servicios pueden automáticamente convertirse en objetivos secundarios.

La emergencia del grupo como especialista en trusted-relationship compromises debe servir como prueba de que las organizaciones ya no deben confiar completamente en las relaciones comerciales establecidas. Por lo tanto, la seguridad debe asumir que cualquier socio, proveedor o prestador de servicios puede representar un vector de ataque potencial -- lo que, consecuentemente, requiere una revisión de las estrategias defensivas de las organizaciones.

La sofisticación demostrada por Murky Panda en sus campañas de trusted-relationship compromise requiere un enfoque defensivo, así como abordamos otras amenazas. Como se vio, CrowdStrike observó actividad significativa conducida por Murky Panda, con el grupo demostrando conocimiento extensivo de entornos cloud.

Las siguientes recomendaciones se basan en mejores prácticas de la industria e integran servicios especializados ofrecidos por SEK para abordar específicamente las técnicas empleadas por este grupo APT.

La principal vulnerabilidad explotada by Murky Panda está en las relaciones comerciales establecidas entre organizaciones y sus proveedores cloud. Las empresas deben realizar auditorías sistemáticas de todos los socios que poseen acceso privilegiado a sus entornos, cuestionando si cada nivel de acceso es verdaderamente necesario y si los controles de seguridad de estos proveedores son adecuados.

Es esencial mapear todas las relaciones DAP/GDAP (Delegated Admin Privileges/Granular Delegated Admin Privileges) establecidas con Microsoft Cloud Solution Providers y otros socios tecnológicos. Las organizaciones deben implementar procesos rigurosos de due diligence que evalúen no solo la seguridad técnica sino también la resistencia cibernética de proveedores críticos. Esta evaluación integral puede ser estructurada a través del Third Party Risk Management de SEK, que tiene como objetivo identificar, evaluar y mitigar riesgos cibernéticos asociados con la cadena de suministro y terceros.

El compromiso de service principals representa uno de los vectores de ataque más críticos utilizados por Murky Panda. Las organizaciones deben implementar auditoría continua de todas las credenciales de service principal en Microsoft Entra ID, prestando atención especial a credenciales recién agregadas o modificadas.

Es fundamental habilitar los logs de actividad de Microsoft Graph para obtener visibilidad completa sobre qué recursos están siendo accedidos por cada service principal. Las organizaciones deben establecer alertas para actividades que se desvíen de patrones esperados, como acceder recursos inesperados u originar inicios de sesión desde redes no autorizadas. La implementación de estas prácticas puede ser estructurada a través del Cloud Assessment de SEK -- tal servicio combina el análisis de prácticas aplicadas al entorno cloud y el análisis técnico de configuraciones.

El modelo Zero Trust es fundamental para combatir técnicas de trusted-relationship compromise, ya que elimina la confianza implícita en cualquier componente del sistema. Las organizaciones deben tratar cada service principal, aplicación y usuario como potencialmente comprometido, requiriendo verificación continua de identidad y contexto.

Esto incluye implementar Conditional Access riguroso y segregar entornos siempre que sea posible. La arquitectura debe asumir que un incidente eventualmente ocurrirá y por lo tanto limitar el alcance del daño a través de segmentación y controles de acceso.

Considerando que Murky Panda opera con persistencia, incluyendo limpieza de logs y modificación de timestamps, las organizaciones necesitan capacidades avanzadas de detección que van más allá del monitoreo tradicional.

El monitoreo debe enfocarse específicamente en patrones de acceso anómalos, creación no autorizada de credenciales, y movimiento lateral entre tenants. Los sistemas de detección deben ser configurados para identificar intentos de enmascarar aplicaciones maliciosas a través de nomenclaturas que imitan servicios legítimos de Office 365. Para esto, SEK ofrece servicios de MDR con capacidad 24/7, proporcionando monitoreo continuo especializado en detectar actividades sospechosas.

El grupo demuestra capacidad para explotar vulnerabilidades zero-day y n-day, haciendo crítica la gestión proactiva de vulnerabilidades. Las organizaciones deben implementar programas de gestión de vulnerabilidades que prioricen correcciones basadas en contexto de explotación real, no solo en criticidad teórica.

Es fundamental mantener configuraciones de seguridad alineadas con benchmarks como CIS Controls, implementar hardening continuo de infraestructuras cloud, y asegurar que aplicaciones conectadas a internet sean regularmente probadas contra técnicas de compromiso. La gestión debe incluir monitoreo de supply chain attacks y evaluación continua de proveedores críticos. Estas prácticas pueden ser estructuradas a través del Continuous Threat Management de SEK, responsable de la identificación, priorización y gestión de vulnerabilidades, y Posture Management.

Dado el historial de Murky Panda de mantener acceso prolongado y silencioso en entornos comprometidos, las organizaciones deben estar preparadas para escenarios donde el compromiso ya ocurrió. Esto requiere desarrollo de playbooks específicos para trusted-relationship attacks, incluyendo procedimientos para aislamiento rápido de tenants comprometidos y revocación masiva de credenciales de service principal.

Los planes de respuesta deben considerar la naturaleza de los ataques donde el compromiso de un proveedor puede afectar múltiples clientes simultáneamente. Las organizaciones deben probar estos planes a través de simulaciones realistas que incluyan escenarios de compromiso de proveedores críticos. Esta preparación puede ser desarrollada a través de ejercicios TableTop de SEK.

Aunque Murky Panda es un grupo técnico sofisticado, los vectores de acceso inicial aún incluyen técnicas tradicionales como password spraying y descubrimiento de credenciales en repositorios públicos. Los colaboradores deben ser entrenados específicamente sobre los riesgos únicos de entornos cloud híbridos y la importancia de prácticas seguras de gestión de código.

Los programas de concienciación deben incluir entrenamiento sobre reconocimiento de intentos de compromiso a través de aplicaciones legítimas comprometidas y entendimiento de cómo los ataques pueden propagarse a través de relaciones de confianza organizacionales. La implementación puede ser apoyada por el Security Awareness Service de SEK.

Grupos sofisticados como Murky Panda evolucionan constantemente sus técnicas, adaptándose rápidamente a nuevos entornos tecnológicos y eludiendo medidas de seguridad implementadas por organizaciones. El "verano de Murky Panda" descrito por CrowdStrike demuestra cómo la actividad de grupos APT puede intensificarse en períodos específicos, requiriendo que las organizaciones se mantengan actualizadas sobre las últimas tendencias y técnicas observadas en el panorama global de amenazas.

Es fundamental que las empresas establezcan procesos estructurados para consumir, analizar y aplicar inteligencia de amenazas en sus operaciones de seguridad. La estructuración de este proceso de inteligencia continua puede ser apoyada por los servicios de Cyber Threat Intelligence de SEK, responsables de crear materiales como este Boletín de Inteligencia y otras investigaciones.

La implementación efectiva de estas recomendaciones requiere un enfoque coordinado que combine experiencia técnica, procesos organizacionales y tecnologías de vanguardia. Las empresas deben priorizar estas iniciativas considerando que la sofisticación de grupos como Murky Panda continuará evolucionando, haciendo esencial una postura de seguridad verdaderamente adaptativa y resistente.

• SEK | Think Ahead Report 2025
• IoCs MurkyPanda
• CrowdStrike
• Microsoft Security Blog
• CyberScoop
• Cyble
• Help Net Security
• SecurityWeek
• The Hacker News