En primer lugar, analizaremos una tendencia al alza en la que los autores de amenazas persistentes avanzadas (APT) y las familias de malware de uso común recurren cada vez más a los archivos de complementos de Excel (archivos .XLL) como vector de intrusión inicial. A continuación, le ofrecemos la información más reciente sobre Automated Libra, el actor malicioso especializado en la nube responsable de la campaña de «freejacking» conocida como «PurpleUrchin». Por último, analizamos en profundidad el reciente informe de Mandiant sobre la actividad maliciosa atribuida al conocido grupo de amenazas ruso respaldado por el Estado, Turla.
1. Los piratas informáticos de APT recurren a complementos maliciosos de Excel como vector de intrusión inicial
Según una entrada del blog «Threat Spotlight» de Cisco Talos, , los actores de amenazas persistentes avanzadas (APT) (se abre en una nueva pestaña) y las familias de malware de uso común están recurriendo cada vez más a los archivos de complementos de Excel (archivos .XLL) como vector de intrusión inicial.
El aumento observado en el uso de archivos XLL se produce tras la decisión de Microsoft de bloquear de forma predeterminada la ejecución de macros VBA de (se abre en una nueva pestaña) . Las aplicaciones de Microsoft Office siguen ahora un proceso de decisión más estricto e impiden a los usuarios ejecutar macros cuando un documento contiene una etiqueta «Mark of the Web» (MOTW). La decisión de Microsoft de bloquear las macros se debió, en gran medida, a que muchos autores de amenazas utilizaban las macros de VBA como vector inicial para distribuir malware y ransomware.
Microsoft y los complementos: una breve descripción general
Los complementos son fragmentos de código ejecutable que se presentan en diversos formatos y ofrecen numerosas funciones diferentes. Se pueden añadir a las aplicaciones de Microsoft Office para mejorar su funcionalidad.
- de Word: En el caso de Microsoft Word, los complementos deben colocarse en una ubicación concreta que viene determinada por el valor del Registro. Si un atacante colocara un archivo DLL en una ubicación de confianza utilizando la extensión de archivo .wll, Word intentaría cargar dicho archivo DLL en su propio espacio de proceso.
- de Excel: En el caso de Microsoft Excel, si el usuario intenta abrir un archivo .XLL en el Explorador de Windows, el shell intenta automáticamente iniciar Excel para abrir el archivo. Antes de cargar un archivo XLL, Excel muestra una advertencia sobre la posibilidad de que contenga código malicioso; se trata de una advertencia o procedimiento similar al que aparece al abrir un documento que contenga código de macros de VBA. En teoría, esto suena bien, pero la mayoría de las personas tienden a pasar de largo y a ignorar la advertencia sin pensarlo dos veces.
¿Qué son los archivos XLL?
Los archivos XLL son bibliotecas de carga dinámica (DLL) estándar de Windows. Lo que distingue a un archivo XLL es su capacidad para implementar determinadas funciones exportadas que serán invocadas por el gestor de complementos de Excel. Los complementos se crean en código nativo y permiten a los desarrolladores ampliar las funcionalidades de Excel.
- XLL basados en C/C++: Los complementos XLL nativos se desarrollan utilizando el kit de desarrollo de software (SDK) de XLL de Microsoft Excel. Para que el gestor de complementos cargue un complemento, el archivo XLL debe implementar al menos una función exportada, denominada «xlAutoOpen», de modo que el código pueda ejecutarse cuando Excel cargue el complemento. El SDK de Excel XLL consta de archivos de cabecera y bibliotecas de C/C++ que permiten a los archivos XLL utilizar la API de Excel para acceder a los datos de los libros de trabajo y llamar a funciones de Excel.
- XLL basados en Excel-DNA: Dos marcos de trabajo muy utilizados, Add-In Express y Excel-DNA, (se abre en una nueva pestaña) , permiten a los desarrolladores crear complementos XLL utilizando lenguajes .NET. Dado que Excel-DNA es un marco de trabajo gratuito, muchos autores de malware lo han adoptado para crear archivos XLL maliciosos.
La evolución de los archivos XLL maliciosos
Cisco Talos ha podido realizar un seguimiento a lo largo del tiempo del número de archivos maliciosos nativos y basados en Excel-DNA enviados a VirusTotal.
Cisco Talos también profundizó en el análisis y determinó que a mediados de 2017 fue cuando los autores de amenazas comenzaron a utilizar archivos XLL como vector para ejecutar código malicioso. Parece ser que el uso de archivos XLL fue esporádico hasta la versión 2021, cuando familias de malware comunes, como Dridex, comenzaron a utilizarlos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Parece que la decisión de Microsoft de bloquear las macros de VBA no es la única razón que explica el aumento de los archivos XLL como vectores de infección». Este notable aumento se ha observado en los últimos años y comenzó mucho antes de la decisión de Microsoft de bloquear las macros, que tuvo una buena acogida. Independientemente de los motivos y del calendario, cada vez son más las familias de malware genérico y los autores de amenazas que están adoptando los archivos XLL. Un ejemplo reciente relacionado con los archivos XLL es el Ekipa RAT, que ha incorporado complementos XLL de Excel en sus ataques, además de aprovechar las macros de Microsoft Publisher para instalar el troyano de acceso remoto».
2. PurpleUrchin elude el CAPTCHA y sustrae recursos de la plataforma en la nube
La Unidad 42 de Palo Alto ha publicado recientemente « » (un análisis en profundidad (se abre en una nueva pestaña) sobre Automated Libra, el actor malicioso en la nube responsable de la campaña de «freejacking» PurpleUrchin.
Automated Libra es un grupo de «freejacking» con sede en Sudáfrica que se caracteriza por atacar plataformas en la nube que ofrecen pruebas de recursos en la nube por tiempo limitado. A continuación, el autor de la amenaza utiliza las versiones de prueba gratuitas para llevar a cabo operaciones de minería de criptomonedas. Se cree que este actor malicioso está detrás de la campaña de «freejacking» conocida como PurpleUrchin.
Se observó que Automated Libra utilizaba un nuevo sistema de resolución de CAPTCHA, tras un uso más intensivo de los recursos de la CPU para la minería de criptomonedas y técnicas de mezcla destinadas a hacer un uso indebido de los recursos gratuitos en la nube.
¿Qué es PurpleUrchin?
La campaña de minería de criptomonedas «PurpleUrchin» (se abre en una nueva pestaña) fue observada (se abre en una nueva pestaña) en October 2022 como una operación de «freejacking». La campaña se basaba en el uso indebido de recursos que ofrecían cuentas en la nube de nivel gratuito para obtener un pequeño beneficio de cada cuenta gratuita, lo que, al sumarse, daba lugar a una cantidad en dólares más significativa.
Los responsables de PurpleUrchin utilizaron las operaciones «Play» y «Run» mediante la creación y el uso de cuentas falsas en la nube con tarjetas de crédito falsificadas o, posiblemente, sustraídas. Las cuentas falsas dieron lugar a saldos pendientes de pago por los servicios en la nube.
La Unidad 42 de Palo Alto analizó más de 250GB datos, incluidos datos de contenedores y registros de acceso al sistema. La arquitectura de infraestructura que utilizan los autores de las amenazas se basa en técnicas de CI/CD, en las que cada componente de software de una operación se aloja en un contenedor. La arquitectura de CI/CD permite que algunos componentes de una operación fallen, se actualicen o se cierren sin que ello afecte al entorno en su conjunto. El análisis permitió a los investigadores rastrear la actividad de este actor malicioso hasta August 2019. Asimismo, se puso de manifiesto la preferencia del actor malicioso por utilizar servicios en la nube a través de proveedores de servicios virtuales tradicionales, o VSP.
Aprovechar al máximo los flujos de trabajo de GitHub
Las operaciones del actor malicioso en GitHub se basaron en una combinación de las tácticas «Play and Run» y «freejacking». Los autores de la amenaza creaban cuentas de GitHub de forma automática a un ritmo medio de entre tres y cinco por minuto. Una vez establecida la base de cuentas, comenzó la actividad de «freejacking».
Posteriormente, cada cuenta de GitHub participó en una estrategia denominada «Play and Run», en la que cada cuenta utilizaba los recursos informáticos que se le habían asignado, pero la factura resultante quedaba sin pagar. Los investigadores han descubierto indicios de que el autor de la amenaza creó más de 130,000 cuentas en diversos proveedores de servidores privados virtuales y de servicios en la nube.
Automatización de la creación de cuentas en GitHub
Una de las últimas operaciones observadas del actor malicioso consistió en ejecutar Togglebox utilizando los servicios de AHP. Togglebox es una plataforma de alojamiento de aplicaciones y servidores VPS en la nube con unidades de estado sólido (SSD) totalmente gestionada. El autor de la amenaza utilizó esta plataforma para ejecutar una serie de contenedores. Cada contenedor es capaz de crear cuentas de GitHub de forma automática. Los investigadores también identificaron un mecanismo denominado «cuentas con nombre» dentro del proceso de Python para la creación de cuentas de usuario. En este proceso se utilizaron cuentas con nombres generados aleatoriamente a partir de Md5 hash.
Las herramientas necesarias para el proceso de creación automática de cuentas se enviaron en un contenedor. Con la última versión del contenedor, el autor de la amenaza combinó varias herramientas legítimas y de acceso público, entre ellas Iron Browser, xdotool e ImageMagick. Una vez instaladas las herramientas, el autor de la amenaza puede comenzar a crear cuentas.
Aprovechamiento de una vulnerabilidad del CAPTCHA
Para crear una cuenta en GitHub es necesario superar una prueba CAPTCHA. Para ello, el autor de la amenaza utiliza dos herramientas del conjunto de herramientas ImageMagick: «convert» e «identify».
Las imágenes CAPTCHA se convierten primero en imágenes complementarias de rojo, verde y azul mediante la herramienta de conversión.
Una vez convertidas las imágenes, se ejecuta el comando «identify» en cada una de ellas para extraer la característica de «asimetría». El resultado es una lista ordenada de forma ascendente, en la que la respuesta correcta aparece como el valor más pequeño.
Una vez resuelto el CAPTCHA, GitHub solicita un código de inicio que se envía al correo electrónico de la cuenta. En este ejemplo, el autor de la amenaza utilizó una cuenta de Gmail para automatizar el proceso de obtención del código de ejecución mediante la lectura de los mensajes IMAP entrantes.
Una vez introducido el código de acceso, el sistema automatizado genera un token de acceso personal con permisos para el flujo de trabajo. La convención de nomenclatura ha cambiado en operaciones más recientes, en las que el autor de la amenaza utiliza ahora nombres aleatorios para los repositorios, que antes se basaban en MD5 hash.
Cuentas creadas
La Unidad 42 ha calculado el número de cuentas creadas en GitHub.
Una vez creado el repositorio en GitHub, se ejecuta un script de Bash para actualizarlo con el flujo de trabajo deseado. El propio flujo de trabajo se genera mediante un script de PHP. El mecanismo de flujo de trabajo permite al autor de la amenaza ejecutar aplicaciones externas. En uno de los casos observados, el flujo de trabajo generado ejecutó un total de 64 tareas, en las que cada una seleccionaba aleatoriamente una de las 5 configuraciones únicas disponibles.
Uno de los servicios en la nube preferidos por el autor de la amenaza durante la operación 2021 fue Heroku, una plataforma de aplicaciones en la nube que permite a sus usuarios crear e implementar aplicaciones sin tener que gestionar la infraestructura de alojamiento. Los investigadores identificaron más de 100,000 cuentas únicas creadas en la plataforma Heroku.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El uso del sistema de resolución de CAPTCHA de Automated Libra para crear cuentas de GitHub sin intervención manual resulta impresionante. No es ningún secreto que los autores de amenazas pueden obtener importantes beneficios económicos mediante operaciones de minería de criptomonedas, y este proceso automatizado de creación de cuentas no hace más que facilitar aún más las cosas a los ciberdelincuentes. «Esta técnica para eludir el CAPTCHA constituye otro ejemplo de cómo los autores de amenazas seguirán perfeccionando y madurando este tipo de metodología para llevar a cabo sus operaciones con mayor eficacia».
3. El grupo APT ruso «Turla» se aprovecha de las infecciones por USB provocadas por otros piratas informáticos
Un nuevo informe publicado por Mandiant, empresa líder en inteligencia sobre amenazas cibernéticas, destaca la actividad más reciente atribuida a Turla, un notorio grupo ruso de amenazas persistentes avanzadas (APT) (se abre en una nueva pestaña) , del que se cree, con un alto grado de certeza, que opera a instancias del servicio de inteligencia ruso FSB.
Además de proporcionar información relativa a los nuevos dominios de mando y control (C2) registrados por Turla y al despliegue selectivo por parte del grupo de los programas maliciosos KOPILUWAK y QUIETCANARY, Mandiant describe cómo Turla consiguió acceder a las redes de las víctimas mediante el registro de dominios caducados que anteriormente estaban asociados a una campaña ciberdelictiva de hace casi diez años, en la que se propagaba malware a través de memorias USB infectadas.
Compartición de puertos USB
El informe de Mandiant es el resultado de un hallazgo realizado en el marco de su programa « September 2022 », en el que se detectó una interesante intrusión en una red de Ucrania, en la que varios de los ordenadores de dicha red se habían infectado después de que alguien insertara una memoria USB en un puerto libre de un dispositivo.
Mandiant determinó finalmente que dicha actividad estaba relacionada con una operación de Turla en la que el actor malicioso logró volver a registrar al menos tres dominios de ANDROMEDA C2 que habían caducado. Esto permitió a Turla analizar a las víctimas de este malware relativamente antiguo (ANDROMEDA fue un malware de uso generalizado muy popular a principios de 2010s), elaborar perfiles de los objetivos y desplegar de forma selectiva tanto la utilidad de reconocimiento KOPILUWAK como la puerta trasera QUIETCANARY contra víctimas ucranianas.
Una nota sobre ANDROMEDA
Como se ha señalado anteriormente, ANDROMEDA fue un malware muy extendido que alcanzó su máxima popularidad a principios del año 2010s. En este incidente, Turla se apropió de la infraestructura de una variante que se subió por primera vez a VirusTotal en 2013. Resulta que esta variante de ANDROMEDA se propaga mediante el uso de memorias USB infectadas.
Este incidente se debe a que se insertó una memoria USB, infectada con varias variantes de malware antiguo, en una organización ucraniana en December 2021. Según Mandiant, cuando el usuario del sistema afectado hacía doble clic en un archivo de enlace malicioso (LNK) camuflado como una carpeta contenida en la memoria USB, se instalaba automáticamente una «muestra heredada de ANDROMEDA», momento en el que comenzaba a enviar señales de identificación.
Dado que esta versión de ANDROMEDA se había subido a VirusTotal allá por el año 2013, es lógico que la mayoría de los C2 dominios del malware hubieran sido desviados a un «sinkhole» por los investigadores, o que simplemente hubieran caducado tras casi una década. Al ejecutarse este archivo binario concreto, estableció su persistencia colocando otra muestra de ANDROMEDA en la ruta C:\ProgramData\Local Settings\Temp\mskmde.com y añadió una clave de registro «Run» para ejecutarla cada vez que el usuario del sistema iniciara sesión. Mandiant pudo determinar que uno de sus C2 dominios caducados había sido vuelto a registrar en enero de 2022 por un titular cuya identidad estaba protegida, siendo Dynadot el registrador encargado del proceso.
By leveraging this C2 to profile existing victims of this malware sample, Turla was able to selectively target interesting users with the first-stage KOPILUWAK dropper.
Reconocimiento con KOPILUWAK
Según Mandiant, Turla acabó descargando y ejecutando un archivo autoextraíble de WinRAR (WinRAR SFX) que contenía KOPILUWAK en el dispositivo de una víctima en September 2022, tras varios meses de transmisión de señales de ANDROMEDA en los que no se observó ninguna actividad significativa.
En total, los investigadores de Mandiant observaron que los atacantes descargaron y ejecutaron el mismo dropper WinRAR SFX «KOPILUWAK» siete veces a lo largo de ese mes, intentando en cada ocasión transferir «cantidades significativas de datos a la dirección C2 manager.surro[.]am».
Se desconoce por qué los atacantes hicieron esto. Los comandos de elaboración de perfiles de víctimas de KOPILUWAK están codificados de forma fija y, por lo tanto, no generarían conjuntos de datos diferentes procedentes del mismo host objetivo.
En el incidente descrito por Mandiant, ANDROMEDA inyectó el proceso «wauclt.exe», que posteriormente realizó solicitudes GET dirigidas a «yelprope.cloudns[.]cl» con la URL de destino «/system/update/version». Este dominio es un subdominio de DNS dinámico alojado por ClouDNS; anteriormente estaba vinculado a la actividad de ANDROMEDA y fue otro de los dominios que Turla volvió a registrar.
En esencia, Turla utilizó KOPILUWAK como recurso para la elaboración de perfiles de objetivos en una primera fase, siendo KOPILUWAK el primer malware personalizado de Turla utilizado por los atacantes tras ANDROMEDA. KOPILUWAK ayudó a Turla a llevar a cabo un reconocimiento de red en el equipo de la víctima, utilizando herramientas como «whoami», «netstat», «arp» y «net», con el fin de detectar conexiones TCP activas con su PID y localizar recursos compartidos de red, antes de enumerar los discos lógicos y los procesos que se estaban ejecutando en ese momento. Los resultados de todos los comandos se redirigieron al archivo %TEMP%\result2.dat, antes de ser enviados al servidor C2 «manager.surro[.]am» de KOPILUWAK mediante solicitudes POST.
QUIETCANARY entra en escena
Tras la ejecución inicial de KOPILUWAK, se observó en dos ocasiones que Turla descargaba en un host la puerta trasera ligera QUIETCANARY, basada en .NET (aunque los comandos solo se ejecutaron en la segunda ocasión). Turla utilizó QUIETCANARY principalmente para recopilar, comprimir, almacenar temporalmente y, en última instancia, extraer los datos de las víctimas. El archivo «QUIETCANARY» se ha guardado en el disco.
Mandiant pudo observar los comandos interactivos enviados a QUIETCANARY y ejecutados por la puerta trasera.
Nota: Los ocasionales errores tipográficos en los comandos emitidos —así como su posterior corrección y reenvío— sugerían que se trataba de un proceso manual, y no de una recopilación automatizada de datos.
Curiosamente, Turla solo parecía estar interesada en la sustracción de archivos creados después del January 1, 2021.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«En su informe, Mandiant se encarga de señalar que las cargas útiles de Turla implicadas en este incidente solo se han observado en Ucrania. De hecho, Mandiant solo observó este único caso en el que se utilizó una infección de ANDROMEDA secuestrada para distribuir el malware de Turla. Sin embargo, no sería prudente llegar a la conclusión de que Ucrania es el único lugar en el que Turla ha llevado a cabo este tipo de operaciones. Sería igualmente imprudente concluir que los ataques de Turla, que se aprovechan de las infecciones de ANDROMEDA, se han limitado a un único objetivo. También sería imprudente dar por sentado que Turla será el único actor que aprovechará las infecciones existentes para sus propios fines. «Es probable que otros actores maliciosos, con motivaciones distintas, intenten sacar partido de intrusiones anteriores de una manera coherente con la actividad descrita en el presente documento».
De hecho, no es la primera vez que Turla se apropia de la infraestructura de ataque de otros actores maliciosos. Tal y como se indica en un artículo de Wired sobre este tema:
Turla cuenta con un largo historial de utilizar artimañas ingeniosas para ocultar el control de su malware e incluso para hacerse con el control de otros piratas informáticos, tal y como ha constatado Mandiant en este caso más reciente. La empresa de ciberseguridad Kaspersky reveló en 2015 que Turla había tomado el control de conexiones a Internet por satélite (se abre en una nueva pestaña)para ocultar la ubicación de sus servidores de mando y control. En 2019, la agencia de inteligencia británica GCHQ advirtió de que Turla se había apoderado sigilosamente de los servidores de unos hackers iraníes (se abre en una nueva pestaña) para ocultarse y despistar a los investigadores que intentaban identificarlos.
«Las técnicas de piratería informática basadas en USB parecen haber experimentado un resurgimiento en los últimos años, y las observaciones de Mandiant sobre la metodología sigilosa de Turla en este incidente deberían servir de recordatorio a los profesionales de la seguridad de que este vector de intrusión concreto dista mucho de estar obsoleto y que, en manos de un operador tan sofisticado y con tantos recursos como el de Turla, esta técnica sigue representando una amenaza significativa».
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
