Esta semana, CTI analiza APT41’s casos recientes de uso de Google Command and Control (GC2) durante sus operaciones, lo que pone de manifiesto un aumento constante en el uso de herramientas de acceso público por parte de las APT vinculadas a China. A continuación, le ofrecemos una descripción general de una nueva herramienta de evasión de defensas —denominada AuKill— que permite a los autores de amenazas desactivar las soluciones de detección y respuesta en terminales (EDR) antes de implementar puertas traseras y ransomware. Para concluir, CTI analiza un nuevo informe en el que se detalla la verdadera causa subyacente de la grave vulneración de la cadena de suministro que comenzó a afectar a la popular aplicación 3CX Desktop App y a sus usuarios el pasado mes de marzo.
Los piratas informáticos utilizan indebidamente la herramienta de comando y control de Google destinada al «equipo rojo» en sus ataques
El informe « 2023 Threat Horizons» de Google Cloud, disponible en (se abre en una nueva pestaña),y , revela que el grupo de espionaje chino APT41 , respaldado por el Estado, está utilizando indebidamente la herramienta de simulacros de ataque GC2 de Google en sus ataques.
GC2 es un proyecto de código abierto escrito en Go que se diseñó específicamente para actividades del equipo rojo. El Grupo de Análisis de Amenazas (TAG) de Google desbarató APT41’s el último ataque de phishing, durante el cual los autores intentaron distribuir el GC2 agente en el marco de un uso indebido más amplio de la infraestructura de Google.
APT41 (se abre en una nueva pestaña) —también conocido como Wicked Panda y HOODOO— lleva a cabo ocasionalmente operaciones con fines económicos. El grupo lleva en activo al menos desde el año 2007, y varios de sus miembros han sido imputados por el Departamento de Justicia de los Estados Unidos. Históricamente, este grupo ha tenido como objetivo organizaciones gubernamentales y privadas de Estados Unidos, Taiwán, la India, Tailandia, China, Hong Kong, Mongolia y otros países. El grupo APT41 también es conocido por su capacidad para aprovechar la explotación de vulnerabilidades, especialmente en el caso de aplicaciones vulnerables a ataques de inyección SQL.
Detalles de la campaña
En el caso « October 2022», el equipo TAG de Google desbarató una campaña « APT41 » dirigida a una organización mediática taiwanesa mediante correos electrónicos de phishing de tipo «» que contenían enlaces a archivos protegidos con contraseña alojados en Drive. La carga útil de esta campaña fue GC2, una herramienta de código abierto para equipos de simulación de ataques.
Esta herramienta, programada en Go, obtiene sus comandos de Google Sheets para ocultar su actividad maliciosa. A continuación, los datos se transfieren a Google Drive. Tras su instalación en el equipo de la víctima, el malware consultaba Google Sheets para obtener sus instrucciones. El GC2 también permite al autor de la amenaza descargar archivos adicionales desde Drive al sistema de la víctima. El uso de la infraestructura de Google y de las aplicaciones colaborativas aumenta la probabilidad de que el tráfico malicioso pase prácticamente desapercibido en los entornos empresariales.
Google ha señalado que este actor malicioso ya utilizó un procedimiento similar el año pasado para atacar una página web italiana de búsqueda de empleo.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El equipo TAG de Google no ha revelado muchos detalles sobre esta campaña, por lo que no hay mucha información con la que trabajar en cuanto a indicadores de compromiso (IOC).» No obstante, la campaña sí pone de manifiesto el uso cada vez mayor que hace este grupo APT chino de herramientas de acceso público como « GC2».
«Los grupos APT chinos suelen utilizar y compartir numerosas herramientas personalizadas en sus ataques.» Además, aportan su propio toque personal a las versiones personalizadas de herramientas disponibles públicamente. El uso de APT41’s de GC2 —supuestamente en su estado original, sin modificaciones personalizadas— marca sin duda un giro hacia el uso de herramientas disponibles públicamente y listas para usar. ¿Se trata de una táctica para entorpecer los esfuerzos de atribución o de un auténtico cambio de metodología? «Solo el tiempo lo dirá».
Las bandas de ransomware se aprovechan del controlador de Process Explorer para desactivar el software de seguridad
Un nuevo informe de Sophos analiza una herramienta de evasión de defensas de tipo « » (se abre en una nueva pestaña) denominada «AuKill», que actualmente utilizan los autores de amenazas para desactivar el software de detección y respuesta en terminales (EDR) antes de implementar puertas traseras y ransomware. La herramienta aprovecha una versión obsoleta de Process Explorer y se ha utilizado en al menos tres incidentes de ransomware este año.
Según se ha informado, Sophos ha investigado varios incidentes en los que el autor de la amenaza intentó desactivar los clientes de EDR mediante la nueva herramienta AuKill. Esta herramienta aprovecha una vulnerabilidad de una versión obsoleta del controlador que utiliza la versión 16.32 de la utilidad Process Explorer de Microsoft. En enero y febrero, los autores de las amenazas desplegaron el ransomware Medusa Locker tras aprovechar AuKill. En febrero, se observó de nuevo que el actor malicioso utilizaba AuKill antes de desplegar el ransomware LockBit.
Por supuesto, no es la primera vez que se ha observado que los autores de amenazas utilizan software diseñado para desactivar los agentes EDR. Los equipos de investigación en materia de seguridad de Microsoft, Mandiant, SentinelOne y Sophos han informado anteriormente sobre ataques en los que se utilizaban controladores personalizados para desactivar productos de EDR. Lo que distingue a estos incidentes recientes de los ataques anteriores es el hecho de que AuKill se aprovecha de un controlador legítimo, aunque obsoleto y vulnerable.
Sophos ha recopilado seis variantes diferentes del malware AuKill y ha detectado similitudes entre AuKill y otra herramienta de código abierto, Backstab, entre las que se incluyen cadenas de depuración que presentan características aparentemente derivadas y una lógica de flujo de código casi idéntica utilizada para interactuar con el controlador. Los investigadores de Sophos consideran que AuKill se creó a partir de varios fragmentos de código de Backstab.
Uso indebido de controladores legítimos y procexp.sys
Para eludir las medidas de seguridad de los controladores, los autores de amenazas deben encontrar la forma de conseguir que un controlador malicioso sea firmado por un certificado de confianza o legítimo, o bien descubrir cómo hacer un uso indebido de un controlador de software comercial legítimo. En las campañas observadas por Sophos, los autores de las amenazas se valieron de un controlador creado —y firmado— por Microsoft.
AuKill coloca un controlador denominado «procexp.sys» en la ruta C:\Windows\System32\drivers del equipo. El controlador legítimo de Process Explorer suele encontrarse en esta misma ubicación y se denomina procexp152.sys. Ambos controladores pueden coexistir en un equipo en el que se esté ejecutando una copia de Process Explorer. El instalador de AuKill también coloca una copia ejecutable de sí mismo en el directorio « System32 » o en el directorio «temp», y la ejecuta como servicio.
Para aprovechar este proceso, el autor de la amenaza debe disponer de privilegios de administrador en el sistema. No obstante, los procesos críticos de Windows cuentan con una protección adicional para impedir que los autores de amenazas los desactiven. Para eludir estas características, los autores de las amenazas deben ir un paso más allá y ejecutar un controlador en modo kernel. En este caso, AuKill hizo un uso indebido del controlador legítimo de Process Explorer para eludir estas funciones.
Es importante señalar que el uso de AuKill requiere que el autor de la amenaza disponga de privilegios de administrador, pero que el programa, por sí mismo, no puede otorgarle dichos privilegios.
La evolución del malware Aukill
Sophos recopiló seis versiones del malware AuKill a lo largo de unos meses y realizó un seguimiento de los cambios en su funcionalidad entre cada una de ellas. En particular, se modificaron el compilador y los componentes de seguridad en cuestión.
Sophos se centró principalmente en las muestras v1 y v6 , ya que eran las que se observaban con mayor frecuencia. Según los investigadores de Sophos, la muestra V6 parece ser una versión experimental. La comparación entre estas dos versiones ofrece a los investigadores una perspectiva sobre la dirección que podrían tomar las futuras versiones.
- Fase 1: Instalación del servicio: Una vez ejecutado, el malware comprueba si dispone de privilegios de administrador. Además, exige que el autor de la amenaza ejecute el archivo indicando una palabra clave —o algún tipo de contraseña— como primer argumento de la línea de comandos; de lo contrario, se interrumpe la ejecución. AuKill inicia en primer lugar el servicio «Trusted Installer», un componente del instalador de módulos de Windows. A continuación, duplica el token de TrustedInstaller[.]exe y lo utiliza para elevar sus privilegios a nivel de SYSTEM cuando el proceso se reinicia. Finalmente, se copia en C:\Windows\system32, se instala como servicio e inicia dicho servicio.
- Fase 2: Desactivación de la seguridad: tras establecer la persistencia mediante la creación de la entrada de servicio, guarda el archivo procexp.sys en el disco. El controlador está integrado en AuKill como recurso.
Para evitar que los componentes de los clientes EDR se reinicien, AuKill inicia varios subprocesos con el fin de garantizar que dichos procesos y servicios permanezcan desactivados. Cada uno de los subprocesos se centra en un componente diferente y los supervisa continuamente para determinar si los procesos o servicios en cuestión están en ejecución; en caso afirmativo, AuKill los desactivará o los cerrará.
AuKill dispone de cuatro funciones que utiliza para desactivar los componentes de EDR: cerrar procesos mediante Procexp, forzar el cierre, desactivar servicios y descargar controladores. Sophos analiza en detalle cada una de estas cuatro funciones en su informe.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Aunque AuKill parece ser un precursor de futuras actividades maliciosas y cualquier indicio de su presencia en una red debe tomarse en serio, conviene recordar que AuKill no puede ejecutarse si el autor de la amenaza no dispone ya de privilegios de administrador». No obstante, la detección de la actividad de AuKill en una red probablemente indique el inminente despliegue de otra carga útil peligrosa, como el ransomware LockBit; lo que demuestra, por tanto, que AuKill sigue representando una grave amenaza».
3CX incidentes de seguridad en la cadena de suministro de software provocados por un incidente previo en la misma cadena de suministro
La empresa de inteligencia Mandiant ha llegado a la conclusión de que el vector de infección inicial del sonado ataque a la cadena de suministro de 3CX —que afectó al omnipresente software de aplicaciones de escritorio de dicha empresa el pasado mes de marzo— fue un programa malicioso descargado desde un sitio web de terceros a la red de 3CX’s .
Mandiant señala que es la primera vez que observa cómo un ataque a la cadena de suministro de software da lugar a otro ataque de este tipo, en lo que solo puede describirse como una pesadilla cibernética al estilo de «Origen» y a modo de matrioskas rusas.
A continuación, un resumen, cortesía de Mandiant:
A finales de March 2023, un ataque a la cadena de suministro de software propagó malware a través de una versión troyanizada de de 3CX’s programas legítimos que se podían descargar desde su página web. El software afectado fue 3CX DesktopApp 18.12.416 y versiones anteriores, que contenían código malicioso que ejecutaba un programa de descarga, SUDDENICON, el cual, a su vez, recibía servidores adicionales de comando y control (C2) a partir de archivos de iconos cifrados alojados en GitHub. El servidor C2 descifrado se utilizó para descargar una tercera fase identificada como ICONICSTEALER, un programa de extracción de datos que roba información del navegador.
Mandiant Consulting también afirma haber descubierto el vector de intrusión inicial como resultado de su investigación en curso sobre el incidente de seguridad en la cadena de suministro 3CX : Mandiant rastreó el origen de todo el incidente hasta un programa informático infectado que se distribuyó a 3CX en un ataque a la cadena de suministro de software en el que se utilizó un instalador malicioso para X_TRADER, un paquete de software legítimo proporcionado por Trading Technologies.
Mandiant determinó que un proceso de carga bastante sofisticado condujo, en última instancia, a la instalación del malware VEILEDSIGNAL (que Mandiant describe como una «puerta trasera modular de varias etapas»), así como de sus módulos asociados.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Mandiant atribuye la actividad maliciosa descrita anteriormente al grupo de amenazas identificado como UNC4736 , un actor que, según Mandiant, con un grado moderado de confianza, está relacionado con la actividad de ciberdelincuencia norcoreana con fines económicos, denominada «AppleJeus» por la CISA».
«Esto queda corroborado por el informe del TAG de Google, que señaló el ataque sufrido por www.tradingtechnologies[.]com en February 2022, antes de que se distribuyeran desde dicho sitio actualizaciones comprometidas de X_TRADER». Se observan más coincidencias en materia de infraestructura entre UNC4736 y APT43, otro actor malicioso norcoreano sobre el que el CTI mantiene un perfil de actor malicioso (TAP) activo».
«Tal y como ha señalado Mandiant, el grupo APT43 suele atacar a usuarios de criptomonedas y a servicios relacionados, lo que pone de manifiesto que este tipo de campañas están muy extendidas entre los operadores cibernéticos vinculados a Corea del Norte».
«Es significativo que unos grupos respaldados por el Estado norcoreano puedan ser los responsables del primer ataque a la cadena de suministro de software que condujo directamente a otro ataque de este tipo. Asimismo, es probable que, en el pasado, los investigadores en materia de seguridad hayan subestimado a los autores de amenazas cibernéticas vinculados a la República Popular Democrática de Corea. «Este incidente nos recuerda que el Reino Ermitaño sigue representando una amenaza formidable».
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
