Esta semana, CTI investiga una nueva campaña en la que se ha detectado la distribución de AsyncRAT. A continuación, CTI explica cómo un actor malicioso conocido como Water Curupira está distribuyendo activamente el malware de carga «PikaBot» a través de campañas de spam. CTI concluye con un análisis de una campaña con fines lucrativos denominada RE#TURGENCE, que tiene como objetivo los servidores Microsoft SQL desprotegidos de todo el mundo.
1. AsyncRAT aparece en una nueva campaña
AT&T Alien Labs ha descubierto una nueva campaña que distribuye AsyncRAT (se abre en una nueva pestaña) a las víctimas. Durante 11 meses, el autor de la campaña ha estado distribuyendo el malware a través de un archivo JavaScript inicial incrustado en una página de phishing. Los investigadores han descubierto más de 300 muestras y más de 100 dominios que ponen de manifiesto la persistencia de este actor.
¿Qué es AsyncRAT?
AsyncRAT existe al menos desde el año 2019 , cuando se lanzó como herramienta de acceso remoto de código abierto. La herramienta sigue estando disponible hoy en día en GitHub, lo que la convierte en una herramienta de acceso remoto (RAT) muy utilizada entre los autores de amenazas. Es conocido por el registro de pulsaciones de teclado, las técnicas de exfiltración y la preparación del acceso inicial para la entrega de la carga útil final.
En September 2023, AT&T detectó un aumento repentino de los correos electrónicos de phishing de dirigidos a un grupo concreto de personas. Los correos electrónicos de phishing contenían un archivo adjunto en formato GIF que redirigía a un archivo SVG. El archivo SVG, a su vez, provocó la descarga de un archivo JavaScript muy ofuscado, seguida de scripts de PowerShell ofuscados y, finalmente, la ejecución de un cliente de AsyncRAT.
A partir de los patrones detectados en el código, los investigadores de AT&T pudieron identificar muestras adicionales de esta campaña, entre las que se encontraban algunas que se remontaban a February 2023. El registro de dominios y la detección de muestras de AsyncRAT siguen en curso.
Análisis técnico
- El cargador de AsyncRAT cuenta con varias etapas que se ocultan aún más mediante un servidor C2 , el cual comprueba si el malware se está ejecutando en un entorno de sandbox antes de desplegar la carga útil principal de AsyncRAT.
- A lo largo de la campaña, los archivos JavaScript se envían a la víctima a través de páginas web maliciosas de phishing. Los archivos contienen cadenas largas que aparecen comentadas y cuyos textos están compuestos por palabras dispuestas al azar, como «Melville», «iglesia», «capítulo» y «escocés».
- El propio script está muy ofuscado y cuenta con varias funciones para ocultar los comandos y cadenas detectables. El malware modifica el C2 y la URL de vez en cuando, lo que dificulta su detección. Además, al parecer, el autor de la amenaza está intentando crear una nueva versión del cargador para cada víctima. Los nuevos archivos tienen nuevos nombres de variables aleatorios, lo que vuelve a dificultar su detección.
- Si el C2 recibe una respuesta no válida y el malware está funcionando en un entorno aislado, redirigirá la solicitud a Google o devolverá un script que accede a una carga útil alojada en temp[.]sh. Este dominio aloja archivos durante aproximadamente tres días y genera una nueva ruta URL aleatoria para cada nuevo archivo subido. A primera vista, el archivo parece ser un cliente de AsyncRAT, según indican algunas de las detecciones de los programas antivirus. Sin embargo, una vez descompilado, el RAT resulta ser, en realidad, una distracción para quienes puedan estar investigando la campaña. La muestra es un archivo señuelo que se ha creado para que parezca un RAT, pero que no contiene un servidor C2 y sí incluye cadenas de texto como «LOL».
- Si el C2 recibe una respuesta válida y el malware no está ejecutándose en un entorno aislado, ejecutará un script en el que el siguiente dominio y la URL estarán ofuscados, lo que posteriormente descargará AsyncRAT.
Infraestructura de red
El código de esta campaña cambia constantemente y está muy ofuscado, lo que puede dificultar su detección. En lo que respecta a la infraestructura de red, las muestras observadas se dirigían a una amplia variedad de dominios, actualizando la lista con frecuencia.
Aunque los dominios cambiaban con frecuencia, compartían características comunes, como un dominio de nivel superior (.top) y ocho caracteres alfanuméricos aleatorios. Otras características comunes eran que el registrador fuera Nicenic[.]net, Inc, que tuvieran un código de país de Sudáfrica y que siempre se crearan apenas unos días antes de su uso.
Un script condujo a los investigadores a un nuevo conjunto de dominios que no contenían ningún dominio codificado de forma fija bajo la ofuscación, a diferencia de la muestra observada anteriormente. En cambio, estas muestras contaban con un script para calcular el dominio en función de la fecha actual, lo que les permitía cambiar automáticamente el dominio C2 con el paso del tiempo.
El algoritmo de generación de dominios (DGA) generó una semilla a partir del día del año y le aplicó algunas modificaciones para garantizar que se creara un nuevo dominio cada siete días. A continuación, esta semilla se utiliza para seleccionar 15 letras, desde la «a» hasta la «n», con el fin de generar el dominio. Estos patrones permiten a los investigadores identificar muestras históricas, pero también desarrollar sistemas de detección para identificar infraestructuras futuras.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña es un claro ejemplo de hasta qué punto pueden llegar a ser decididos los autores de amenazas y de lo fácil que les resulta pasar desapercibidos.
En muchos casos, los desarrolladores hacen que el malware se detenga por completo y se cierre si se detecta que se encuentra en un entorno aislado, con el fin de que no pueda ser analizado más a fondo. Curiosamente, el autor de esta campaña dedicó tiempo y esfuerzo adicionales a crear un RAT señuelo, diseñado esencialmente para hacer perder tiempo al analista antes de que este se diera cuenta de que no se le había facilitado el malware auténtico.
Se trata de un caso interesante en el que el autor de un programa malicioso ha dedicado tiempo adicional a algo que no hace que el programa sea más sigiloso ni más complejo, sino que simplemente tiene como objetivo molestar a los analistas.
2. Water Curupira distribuye el malware de carga PikaBot
Un actor malicioso conocido como «Water Curupira» está distribuyendo activamente el malware de carga «PikaBot» de (se abre en una nueva pestaña) a través de campañas de spam.
Este actor suele llevar a cabo campañas con el objetivo de instalar puertas traseras, lo que a menudo da lugar a ataques de ransomware (principalmente Black Basta).
El cargador PikaBot de (se abre en una nueva pestaña) presenta muchos de los mismos comportamientos que el famoso QBot de y su aumento de popularidad parece coincidir con el desmantelamiento de QBot.
Acceso inicial
El ataque comienza con un correo electrónico malicioso que se envía mediante el secuestro de un hilo de conversación. El correo electrónico contiene un archivo adjunto que puede ser un archivo ZIP protegido con contraseña que contiene un archivo IMG o un archivo PDF. En caso necesario, el actor incluirá la contraseña del archivo en el correo electrónico.
Primera etapa
El archivo adjunto al correo electrónico contiene un código JavaScript muy ofuscado, con un tamaño superior a 100 KB. Cuando se ejecute, el script comenzará a ejecutar una serie de comandos. El script intenta ejecutarse mediante cmd. Si esto no da resultado, mostrará una cadena determinada en la consola e intentará realizar un ping a un destino especificado utilizando dicha cadena. Si esto falla, utilizará Curl.exe para descargar la carga útil de PikaBot desde un servidor externo.
También se observó otra cadena de ataque en la que el autor de la amenaza no utilizó un script malicioso, sino que recurrió a un archivo IMG procedente del archivo PDF adjunto al correo electrónico, el cual contenía dos archivos adicionales. Estos archivos adicionales constituían la carga útil de PikaBot. Este último enfoque surgió hacia finales de 2023.
Carga útil de PikaBot
Trend Micro analizó un archivo DLL que se extrajo del archivo comprimido en la primera fase y determinó que se trataba de una muestra de un archivo DLL de 32 bits con 1515 exportaciones. En última instancia, la DLL descifra y ejecuta un código shell, que a su vez descifrará otro archivo DLL. Este archivo DLL se carga en memoria y, finalmente, se ejecuta. El archivo DLL descifrado ejecuta una rutina antianálisis que carga bibliotecas incorrectas y otros elementos irrelevantes para detectar entornos de pruebas.
Tras llevar a cabo el anti-análisis, el malware cargará un conjunto de imágenes PNG que contienen una parte cifrada del módulo principal. Tras descifrarlos, el inyector PikaBot crea un proceso en suspenso e inyecta en él el módulo principal, al tiempo que utiliza llamadas al sistema indirectas para ocultar dicha inyección.
PikaBot utiliza dos funciones para obtener las direcciones de las tres API necesarias. Entre ellas se encuentran GetProcAddress, LoadLibraryA y HeapFree. El módulo principal comprobará el idioma del sistema y detendrá la ejecución si se detecta que el idioma es el ruso o el ucraniano.
Tras asegurarse de que solo hay una instancia de sí misma en ejecución en ese momento, obtendrá información sobre el sistema para enviarla al C2. El malware creará una tubería con nombre y la utilizará para almacenar temporalmente la información adicional que recopile. Una vez que el malware haya recopilado toda la información que considere necesaria, la enviará a una dirección IP a la que se le haya añadido una URL específica.
Impacto
Water Curupira suele llevar a cabo campañas que dan lugar al ransomware Black Basta. Esto es lo que hace que las campañas de PikaBot supongan una amenaza tan grave.
Trend Micro ha identificado distintos grupos de balizas de Cobalt Strike con más de 70 C2 dominios que conducen a , Black Basta y que podrían haber sido depositados a través de campañas llevadas a cabo por este actor malicioso.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Las infecciones por PikaBot suelen dar lugar a la instalación del ransomware Black Basta. Por lo tanto, PikaBot no es una amenaza que deba tomarse a la ligera.
Además, numerosos investigadores han identificado solapamientos y posibles conexiones entre PikaBot y QBot. Resulta sorprendente que el cierre de QBot se haya producido más o menos al mismo tiempo que PikaBot ganaba popularidad.
Aunque no sabemos con certeza si PikaBot es el nuevo QBot, sus posibles vínculos con el ransomware Black Basta y su sofisticada estructura en varias fases lo convierten en una amenaza de la que hay que tener cuidado.
3. Unos piratas informáticos turcos aprovechan vulnerabilidades en servidores MS SQL de todo el mundo
Una campaña con fines económicos, cuyo nombre en clave es ahora « » (), «RE#TURGENCE» () y «», tiene como objetivo servidores SQL de Microsoft desprotegidos en todo el mundo mediante ataques de fuerza bruta como método de acceso inicial. La campaña puede concluir de dos maneras: la primera consiste en vender el acceso obtenido y la segunda, en el envío de un programa de rescate.
El autor de la amenaza comienza por acceder mediante un ataque de fuerza bruta a un servidor MS SQL con una seguridad deficiente, utilizando el procedimiento que permite ejecutar comandos a nivel del sistema operativo desde el propio SQL Server para ejecutar comandos en el host. Tras ejecutar el código, comenzaron a lanzar comandos adicionales desde el proceso sqlservr.exe.
- El primer comando ejecuta el archivo ejecutable, lo que da lugar a la descarga de un archivo, 189jt, desde el servidor remoto del atacante, y ejecuta el código que contiene mediante una expresión de invocación de PowerShell de tipo « » (). El script de PowerShell descargará y ejecutará la siguiente fase del ataque.
- El siguiente script de PowerShell contiene una carga útil de Cobalt Strike ofuscada que se carga en el proceso que se está ejecutando en ese momento. La ofuscación se centra en las importaciones de DLL y en la carga útil de Cobalt Strike, en la que se detectaron cientos de líneas compuestas por variables y bloques de comentarios innecesarios. El Cobalt Strike Beacon se configuró para inyectarse en el proceso nativo de Windows, SndVol.exe. A continuación, el autor de la amenaza descargó los archivos binarios de AnyDesk desde un recurso compartido de red montado.
Acceso mediante credenciales
Se observó que el autor de la amenaza descargaba Mimikatz en el sistema mediante AnyDesk, junto con otro script por lotes que se utilizaba para automatizar algunos de los comandos de Mimikatz.
El script se encarga de realizar múltiples funciones. En primer lugar, utiliza un ajuste conocido del Registro para habilitar las credenciales en texto sin cifrar. A continuación, realiza algunas comprobaciones antes de ejecutar Mimikatz desde el subdirectorio correspondiente. Los resultados de la extracción de Mimikatz se guardan en un archivo denominado Mimikatz_dump.txt.
Descubrimiento y desplazamiento lateral
Tras utilizar Mimikatz, el autor de la amenaza pasó a centrarse en las actividades de exploración. Utilizaron AnyDesk para descargar la utilidad «Advanced Port Scanner». Esta utilidad se utilizó para comprobar los recursos compartidos remotos de un controlador de dominio, obtener el nombre de host de una máquina virtual Hyper-V, probar y ejecutar psexec.exe en un controlador de dominio, probar y utilizar RDP, entre otras cosas. Unos días más tarde, el autor de la amenaza logró desplazarse lateralmente a otros dos equipos de la red. El autor de la amenaza utilizó psexec para abrir una nueva sesión en un controlador de dominio con una contraseña obtenida del volcado de Mimikatz. Gracias a esta cuenta, pudieron pasar a utilizar otros equipos.
Impacto
Tras pasar a varios equipos más, el autor de la amenaza utilizó AnyDesk para descargar una carga útil de ransomware con el nombre de red25.exe. La carga útil es un archivo autoextraíble que extrae y ejecuta la carga útil final del ransomware. El ransomware utilizado en esta campaña es el ransomware Mimic. El ransomware Mimic utiliza aplicaciones legítimas para buscar y localizar los archivos que va a cifrar.
Una vez finalizado el proceso de cifrado, el ransomware muestra a la víctima el aviso de cifrado y pago. El ransomware fue ejecutado finalmente de forma manual por los autores del ataque, primero en el servidor MS SQL, después en un controlador de dominio y, a continuación, en otros equipos integrados en el dominio.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La práctica de atacar servidores MS SQL con una seguridad deficiente no parece que vaya a desaparecer pronto, sobre todo porque sigue resultando muy rentable para los autores de las amenazas.
Dejando eso de lado, este actor malicioso recurre en gran medida al uso de AnyDesk en varias fases del ataque. Esto pone de manifiesto lo habitual que se está volviendo que los autores de amenazas hagan un uso indebido de herramientas legítimas en sus operaciones y, por lo tanto, lo importante que resulta que los defensores mantengan una vigilancia constante.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, le invitamos a consultar nuestros últimos resúmenes de inteligencia sobre ciberamenazas de «».
