En el resumen de esta semana, CTI ofrece las conclusiones principales del informe «Threat Horizons» de Google Cloud correspondiente al tercer trimestre de 2023. A continuación, CTI investiga al actor estatal norcoreano «BlueNoroff» y su relación con un malware para macOS hasta ahora desconocido denominado «ObjCShellz». CTI también ofrece una descripción general de Predator AI, una nueva herramienta de robo de información y hacking basada en Python que tiene como objetivo los servicios en la nube.
1. Google Cloud publica su informe « Q3 Threat Horizons»
Ya está disponible el último informe « : Threat Horizons» de Google Cloud, titulado « » (se abre en una nueva pestaña) , correspondiente al tercer trimestre de 2023 , que ofrece análisis y recomendaciones específicas sobre la nube elaboradas por los equipos de inteligencia y seguridad de la empresa.
Cabe destacar que el informe advierte de que varios actores maliciosos están compartiendo un exploit de prueba de concepto (PoC) público que aprovecha el servicio de calendario de Google para alojar la infraestructura C2 .
Los actores maliciosos tienen como objetivo los datos alojados en la nube mediante servicios SaaS
A medida que las organizaciones siguen adoptando soluciones SaaS alojadas en la nube, la superficie de ataque para los autores de amenazas sigue ampliándose. En los últimos meses, Google ha observado cómo los autores de amenazas han recurrido a diversas tácticas para acceder a sistemas SaaS alojados en la nube y sustraer datos de ellos. Google también está detectando ataques en los que los autores de las amenazas aprovechan más de un sistema a la vez.
Aprovechamiento de Google Calendar para alojar la infraestructura de « C2 »
El informe también señala que los autores de amenazas recurren cada vez más a servicios legítimos en la nube para alojar infraestructuras maliciosas. Esto se debe, en parte, a que los servicios de nube pública ofrecen una infraestructura económica y fiable en la que confían las empresas. Los autores de amenazas utilizan los servicios de nube pública para camuflarse entre grandes volúmenes de tráfico legítimo y evitar ser detectados.
For several years, threat actors have abused cloud-based storage to host campaign infrastructure, deliver malware, act as malware C2, and upload exfiltrated data. El uso indebido de Google Calendar es la última tendencia que está surgiendo. En « June 2023», un desarrollador independiente publicó en GitHub un código de prueba de concepto para «Google Calendar RAT». Google aún no ha detectado este RAT de Google Calendar en el entorno real, pero ha observado que varios actores maliciosos lo están compartiendo en foros clandestinos, lo que indica claramente cierto nivel de interés.
Esta herramienta utiliza los eventos de Google Calendar para C2 fines distintos. Permite a un actor malintencionado introducir comandos en el campo de descripción de los eventos del calendario. El RAT de Google Calendar comprueba periódicamente la descripción de los eventos del calendario en busca de nuevos comandos, los ejecuta y actualiza la descripción del evento con el resultado de los comandos.
El creador del malware afirma que este se comunica exclusivamente a través de la infraestructura legítima de Google para eludir la detección.
Abuso del «typosquatting» en las plataformas de almacenamiento en la nube
Los ciberdelincuentes están adaptando sus tácticas para incluir ataques de «typosquatting» en plataformas de almacenamiento en la nube como Google Cloud Storage, Amazon S3 y Azure Blob.
Los nombres de los espacios de almacenamiento en la nube son únicos a nivel mundial entre todos los proveedores de servicios en la nube, pero no están vinculados específicamente a ninguna organización. Por este motivo, un actor malintencionado puede suplantar el nombre de una empresa si el nombre de un «bucket» está disponible. Del mismo modo, si no se conoce la ortografía exacta del nombre de una empresa, un actor malintencionado puede recurrir a un ataque de «typosquatting». En una encuesta, Google descubrió que aproximadamente el 60 % de las organizaciones tenían una o más direcciones URL de almacenamiento en la nube objeto de «typosquatting».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El descubrimiento del PoC del RAT de Google Calendar, aunque aún no se haya observado en entornos reales, demuestra claramente el interés constante por hacer un uso indebido de los servicios en la nube para camuflarse entre el tráfico legítimo.
El informe de Google continúa abordando diversas tácticas, técnicas y procedimientos (TTP) para comprometer entornos en la nube. Lo interesante es que sus datos indican que las víctimas en la nube no se ven afectadas por ataques de una complejidad o un nivel de sofisticación sin precedentes, sino que, a menudo, son el resultado de TTP comunes y bien conocidos. Esto ayuda a los defensores y a los profesionales de la seguridad a determinar dónde deben centrar sus esfuerzos de detección.
2. BlueNoroff piratea equipos con macOS mediante el malware ObjCshellz
Los investigadores de Jamf Threat Labs atribuyen al actor estatal norcoreano « » (BlueNoroff) (se abre en una nueva pestaña) un malware para macOS no documentado hasta la fecha denominado ObjCShellz. Este malware se está utilizando en el marco de la campaña de malware «RustBucket», que salió a la luz por primera vez en April 2023.
Descubrimiento y antecedentes
Jamf ha identificado recientemente una nueva variante de malware denominada ObjCShellz (se abre en una nueva pestaña), que ha atribuido al grupo APT BlueNoroff. Se cree que BlueNoroff es un grupo subordinado al Grupo Lazarus y suele llevar a cabo ataques con fines económicos. El actor arremete con frecuencia contra empresas de capital riesgo, bancos y plataformas de intercambio de criptomonedas.
Jamf descubrió la nueva variante de malware durante una búsqueda rutinaria de amenazas. En este caso, detectó un binario universal Mach-O que se comunicaba con un dominio que ya se había identificado como malicioso. El archivo ejecutable no fue detectado como malicioso en VirusTotal cuando se descubrió por primera vez.
El archivo binario «ProcessRequest» cuenta con una firma ad hoc y se ha observado que se comunica con swissborg[.]blog. El malware divide la URL C2 en dos cadenas independientes que se unen entre sí para eludir la detección estática. Este dominio está relacionado con otras actividades que se han asociado anteriormente con BlueNoroff, concretamente con la campaña « » de RustBucket: (se abre en una nueva pestaña),y .
La asociación «RustBucket» de BlueNoroff
En la campaña «RustBucket», el autor de la amenaza se pone en contacto con la víctima fingiendo estar interesado en establecer una colaboración con ella u ofreciéndole algo, al tiempo que se hace pasar por un inversor o un cazatalentos.
A continuación, BlueNoroff crea un dominio que parece pertenecer a una empresa legítima del sector de las criptomonedas para pasar desapercibido entre la actividad de confianza de la red. El dominio «swissborg» se ajusta a esta actividad, ya que «swissborg» es utilizado por una plataforma legítima de intercambio de criptomonedas.
El dominio swissborg[.]blog se creó en May 2023 y reveló varias direcciones URL adicionales que se utilizaban para la comunicación del malware. El dominio también apunta a una dirección IP que se ha asociado anteriormente con malware utilizado por BlueNoroff.
Detalles técnicos
- El malware está escrito en Objective-C. Se trata de un shell remoto bastante sencillo cuyo objetivo es ejecutar los comandos de shell enviados desde el servidor de ataque.
- Por el momento no se ha confirmado el acceso inicial, ya que el malware se utiliza en una fase posterior para ejecutar comandos de forma manual una vez que el sistema ha sido comprometido.
- Este malware difiere de otros tipos incluidos en la campaña RustBucket, pero parece que, aun así, ofrece una funcionalidad básica de shell remoto.
- Una vez ejecutado, el malware llamará a una función denominada «sendRequest» para enviar un mensaje POST a una URL de Swissborg predefinida. A continuación, recopila información sobre el propio proceso del malware antes de determinar la versión de macOS.
- La función principal del programa consiste en inicializar una instancia de la clase `ProcessRequest` antes de configurar un temporizador de repetición. El temporizador activará el método «sendRequest» a intervalos regulares para garantizar que se realicen solicitudes de red periódicas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este malware parece tener una funcionalidad limitada, ya que ofrece un sencillo shell remoto y ejecuta los comandos de shell que recibe. Debido a su sencillez y a la falta de datos disponibles sobre el acceso inicial, se cree que se utiliza como malware de fase avanzada en un sistema que ya ha sido comprometido.
Dicho esto, es importante comprender las distintas tácticas, técnicas y procedimientos (TTP) que BlueNoroff suele emplear. Si se familiariza con sus TTP, es posible detectar actividades maliciosas mucho antes de que se implemente ObjCShellz.
3. Un programa de robo de información basado en ChatGPT ataca plataformas en la nube
Unos investigadores han descubierto un programa de robo de información (infostealer) basado en Python (se abre en una nueva pestaña) y una herramienta de piratería informática denominada «Predator AI» que ataca a los servicios en la nube.
El desarrollador de Predator AI incorporó una clase basada en ChatGPT al script de Python para facilitar el uso de la herramienta y que esta sirviera como una única interfaz basada en texto entre las distintas funciones. El programa de robo de información no parece estar aún listo para su uso en entornos de producción, pero sí ilustra cómo los autores de amenazas están empezando a incorporar de forma realista la inteligencia artificial para mejorar sus flujos de trabajo.
¿Qué es Predator AI?
Predator AI se está promocionando en diversos canales de Telegram relacionados con la piratería informática. Su objetivo principal es facilitar los ataques a aplicaciones web dirigidos a diversas tecnologías, como los sistemas de gestión de contenidos y los servicios de correo electrónico en la nube, como Amazon Simple Email Service (SES). Se trata de una herramienta polivalente que aún se encuentra en fase de desarrollo activo.
Datos técnicos sobre Predator AI
- Predator es una aplicación en Python con más de 11,000 líneas de código.
- Funciona a través de una interfaz gráfica de usuario basada en Tkinter. No dispone de un modo de interfaz de línea de comandos independiente, lo que lo distingue de muchas otras herramientas similares.
- El script cuenta con 13 clases globales definidas que agrupan diversas funciones. Esto incluye aumentar el tamaño de un archivo, crear mensajes de error falsos, desarrollar un programa de robo de información como archivo PE de Windows, realizar consultas a la API de OpenAI y mucho más.
- Los ataques a aplicaciones web de Predator buscan puntos débiles habituales, errores de configuración y vulnerabilidades. Está dirigido a tecnologías como Drupal, Joomla, Laravel, Magento, OpenCart, osCommerce, PrestaShop, vBulletin y WordPress.
La clase GPTj
La clase GPTj contiene las características reales de la IA de Predator. Esta función es una interfaz de procesamiento de texto similar a un chat que permite al usuario acceder a las funciones de Predator. Busca soluciones locales antes de consultar la API de OpenAI para reducir el consumo de la API.
La clase GPTj busca en la entrada proporcionada por el usuario cadenas de caracteres asociadas a un caso de uso conocido. Sentinel One detectó más de 100 casos en los que Predator gestionaba los datos, ya fuera de forma interna o a través de un servicio gratuito de terceros. La clase también contiene algunas utilidades parcialmente implementadas relacionadas tanto con AWS SES como con Twilio, además de utilidades para recopilar información sobre direcciones IP y números de teléfono. Predator solo consultará la API de ChatGPT si no existe ningún caso de prueba que permita gestionar la entrada recibida.
Funcionalidades de AWS
Esta utilidad básica se encuentra actualmente incluida en el script. No obstante, hay funciones disponibles que no están relacionadas con AWS. Sentinel One considera que esto se debe probablemente a que dichas funciones aún se encuentran en fase de desarrollo.
El script analizará los datos de entrada para detectar la presencia de «aws.c» y, en caso de que exista, llamará a las siguientes funciones:
- Compruebe todas las cuentas de correo electrónico en un entorno de AWS SES.
- Compruebe los límites de envío.
- Cree una nueva cuenta, asigne privilegios de administrador y elimine la cuenta antigua.
Acerca de la clase StealerBuilder
La clase StealerBuilder contiene las variables de configuración necesarias para crear un programa de robo de información. El mes pasado, el desarrollador publicó un vídeo en el que se detallaba el proceso de creación de este programa de robo de datos. El desarrollador también ha confirmado que el archivo ejecutable es totalmente indetectable.
El programa malicioso se puede configurar para utilizar los webhooks de Discord o de Telegram para su comunicación C2 .
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La aparición de algo como Predator AI no es más que lo que cabía esperar, dado el revuelo que se ha generado en torno a la IA y los modelos de lenguaje a gran escala (LLM).
Si bien esta herramienta supone un paso adelante hacia una mayor adopción de la IA por parte de los autores de amenazas, Predator AI solo es funcional en cierta medida. Tal y como señala Sentinel One, en este momento, la integración no aumenta de forma sustancial la capacidad de un atacante.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
