En el resumen de esta semana, CTI analiza un nuevo malware para Linux denominado «Auto-color», que ataca a organizaciones de toda Norteamérica y Asia. A continuación, CTI investiga una campaña en curso que aprovecha una vulnerabilidad en un controlador de Windows para distribuir el malware RAT Gh0st . Por último, CTI analiza varias campañas de espionaje vinculadas a un actor malicioso conocido como Lotus Blossom.
El malware «Auto-color» para Linux permite un acceso remoto completo
Unos investigadores de Palo Alto (se abre en una nueva pestaña) han descubierto un nuevo malware para Linux al que los investigadores han denominado «Auto-color».
Este malware, que se ha detectado atacando a organizaciones de toda Norteamérica y Asia, proporciona a los autores de las amenazas acceso remoto completo a los equipos infectados.
En particular, este malware utiliza nombres de archivo que parecen inofensivos, oculta sus conexiones remotas C2 y emplea un algoritmo de cifrado propio para eludir aún más la detección.
¿A quién va dirigido el malware «Auto-color» para Linux?
Palo Alto detectó por primera vez una muestra de este malware en November 2024, y la muestra más reciente se ha detectado en December 2024. Palo Alto ha detectado que esta familia de malware tiene como objetivo universidades y organismos públicos.
Los investigadores aún no han determinado cómo llega el malware a sus víctimas. No obstante, Palo Alto ha determinado que el archivo está diseñado para que la víctima de lo ejecute de forma explícita en equipos con Linux: (se abre en una nueva pestaña).
¿Cómo funciona el malware «Auto-color»?
El malware utilizará un nombre de archivo diferente para cada sistema de destino en el que se instale. Como se ha señalado, utiliza nombres de archivo que parecen inofensivos, como «door» o «egg». El hash es diferente para cada archivo porque el creador de Auto-color decidió «compilar de forma estática la carga útil cifrada de la configuración C2 en cada muestra de malware».
Cuando el malware se ejecute en un equipo, comprobará si el archivo ejecutable es, efectivamente, Auto-color. Si el nombre del archivo no es «Auto-color», se ejecutará la fase de instalación «para la implantación de una biblioteca evasiva ubicada dentro del propio ejecutable».
El malware solo continuará con su rutina si dispone de los privilegios de root necesarios y, en tal caso, instalará una biblioteca maliciosa que imita a la biblioteca de utilidades C legítima.
Auto-color se copiará y se renombrará como «/var/log/cross/auto-color» antes de instalar el implante de la biblioteca y escribir el archivo malicioso de la biblioteca como «ld.preload» en un archivo estándar de los sistemas Linux.
Tal y como señala Palo Alto, las bibliotecas incluidas en «ld.preload» se cargarán en primer lugar, lo que permite que una biblioteca maliciosa cargada posteriormente anule algunas de estas bibliotecas básicas.
Antes de la fase de ejecución principal del malware, este debe descifrar la carga útil para determinar a qué servidores de atacantes remotos debe conectarse. Para obtener esta carga útil, leerá un archivo concreto o la extraerá de la sección .data de dicho archivo si la primera opción no ha dado resultado.
El cifrado de la carga útil es una variante de un cifrado de flujo. Palo Alto analizó la carga útil y descubrió que constaba de tres componentes principales:
- El tamaño del bloque cifrado
- El texto cifrado
- La propia llave
La carga útil final, una vez descifrada, contiene los verdaderos destinos a los que debe conectarse el malware.
Una vez que el malware se conecte con el autor de la amenaza, iniciará un protocolo de establecimiento de conexión y esperará a que se ejecuten las órdenes. Las cargas útiles presentan una estructura única para cada comando específico de la API asociado, en función del identificador del comando.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La muestra más reciente de «Auto-color» se pudo ver en December 2024. En consecuencia, no está claro si se trata aún de una amenaza activa que ha pasado desapercibida o si realmente ha remitido.
Curiosamente, este malware utiliza un archivo distinto para cada objetivo, con un nombre y un hash diferentes, lo que hace que la detección basada exclusivamente en estos indicadores resulte poco útil. Le recordamos que no basta con basarse únicamente en estos indicadores, y que disponer de detectores para tácticas específicas puede resultar más eficaz.
Los autores de amenazas aprovechan el archivo «Truesight.sys» en una nueva campaña de malware
Check Point ha identificado recientemente (se abre en una nueva pestaña) una campaña de malware en curso que aprovecha un controlador vulnerable de Windows, Truesight.sys, para distribuir el malware Gh0st RAT.
La investigación reveló miles de muestras maliciosas de primera fase que incorporaban un módulo diseñado para eludir los sistemas EDR y antivirus.
Antecedentes y conclusiones principales
Check Point inició la investigación con el objetivo de identificar el uso indebido de controladores cuya vulnerabilidad no se conocía, lo cual, como puede imaginar, resulta mucho más complicado que detectar aquellos cuya vulnerabilidad ya se conoce. La investigación condujo al descubrimiento de una campaña de malware de gran envergadura y aún en curso.
A primera vista, una de las muestras parecía estar instalando un controlador conocido por ser vulnerable (se abre en una nueva pestaña) denominado «Truesight.sys». Los investigadores se dieron cuenta de que no se trataba simplemente de otro controlador de Truesight vulnerable. Descubrieron que las muestras descargaban la misma versión del controlador Truesight vulnerable, pero que los hash eran distintos. Esto indicaba que, probablemente, el atacante había modificado el controlador lo justo para alterar el hash del archivo, pero no lo suficiente como para cambiar la firma digital.
Lo que determinaron los investigadores:
- Estos actores están utilizando la infraestructura de la región de China de una nube pública. Esta infraestructura aloja las cargas útiles y los C2 servidores.
- Se estima que aproximadamente el 75 % de las víctimas se encuentran en China.
- Se observó que las muestras que actúan como programas de descarga se hacían pasar por aplicaciones conocidas y se distribuían a través de , phishing (se abre en una nueva pestaña)y .
Detalles técnicos
La muestra de la fase inicial detectada más tempranamente en esta campaña procede de June 2024, donde se aprovechó la versión vulnerable del controlador heredado original de : (se abre en una nueva pestaña). Poco después, estas muestras de la fase inicial comenzaron a aprovechar las variantes del controlador en lugar del controlador original.
Check Point dividió la infección inicial en tres fases, a saber:
- Descarga de la segunda etapa y de las cargas útiles cifradas
- Carga de las cargas útiles y descarga de la tercera etapa y sus cargas útiles cifradas
- Carga de las cargas útiles de la tercera fase y despliegue del módulo «EDR/AV killer» en memoria
En última instancia, todo ello culmina con el despliegue y la ejecución del Gh0st RAT.
El informe de Check Point ofrece información detallada sobre el controlador Truesight heredado. Además, todas las muestras analizadas por Check Point dieron lugar a la instalación de Gh0st RAT; concretamente, una variante conocida como HiddenGh0st.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Según el estudio de Check Point, queda claro que los autores de amenazas aprovechan cada vez más los controladores vulnerables. Aunque la búsqueda de instancias de controladores con vulnerabilidades conocidas suele ser sencilla, este ataque concreto relacionado con el controlador Truesight habría eludido los sistemas de detección que se basaban en hash conocidos, entre otros métodos.
Tal y como señala Check Point, adoptar un enfoque que «bloquee los controladores basándose en atributos que vayan más allá de los simples hash […] resulta fundamental para mejorar la detección y la protección».
«Lotus Blossom» supone una amenaza para múltiples sectores
Cisco Talos ha descubierto (se abre en una nueva pestaña) varias campañas de espionaje en las que participa Lotus Blossom, un grupo que lleva operando al menos desde el año 2012.
Los recientes ataques, que distribuyen la puerta trasera Sagerunex y otras herramientas de piratería informática, tienen como objetivo varios sectores, entre ellos la industria manufacturera (se abre en una nueva pestaña), la administración pública, las telecomunicaciones y los medios de comunicación. El actor también creó nuevas variantes de su puerta trasera característica, que se aprovecha de servicios en la nube de terceros para C2. Cisco Talos señala que la reciente campaña parece haber tenido un éxito considerable, centrándose principalmente en víctimas de Filipinas, Vietnam, Hong Kong y Taiwán.
Los investigadores también descubrieron nuevas variantes de la puerta trasera «Sagerunex» de Lotus Blossom. En lugar de recurrir a servidores privados virtuales para el C2, estas nuevas variantes utilizan servicios en la nube de terceros, como Dropbox, Twitter y Zimbra.
¿Qué herramientas se utilizan en la cadena de ataque «Lotus Blossom»?
Cisco Talos ha descubierto que este grupo utiliza una amplia gama de herramientas, entre las que se incluyen herramientas de código abierto y otras, como un programa para robar cookies, la herramienta de proxy Venom, una herramienta para ajustar privilegios, una herramienta de archivado, una herramienta de retransmisión de puertos y una herramienta RAR. El informe ofrece más detalles sobre cada una de estas herramientas.
Se observó con frecuencia que el grupo utilizaba la herramienta Impacket para ejecutar comandos remotos. Tras conseguir acceder a la red, el atacante sigue varias fases, comenzando por el reconocimiento. A continuación, el técnico comprobará que el dispositivo pueda conectarse a Internet y, en caso contrario, utilizará diversas herramientas para conectarlo a sistemas con acceso a Internet. Asimismo, se observó que el actor instaló la puerta trasera y diversas herramientas de piratería informática en la subcarpeta «public\pictures» antes de instalar la puerta trasera Sagerunex.
Cómo se instala Sagerunex
Cisco Talos identificó varias variantes de la puerta trasera Sagerunex tras examinar el código del cargador. Cuando se ejecuta la puerta trasera, lleva a cabo comprobaciones de verificación para asegurarse de que puede continuar. Cada variante cuenta con su propia lógica de comprobación temporal, que determina si debe ejecutarse de inmediato o si debe retrasar su ejecución. Una característica común a todas las variantes identificadas es la configuración del proxy.
Cisco Talos ha identificado varias variantes, entre las que se incluyen una versión beta, versiones para Dropbox y Twitter, y una versión para Zimbra. El informe detalla las versiones de Beta, Dropbox y Twitter.
Zimbra (se abre en una nueva pestaña), la versión más reciente, utiliza la API de Zimbra para conectarse al servicio, que a su vez se emplea como canal C2 para la campaña. Esta versión utilizará la URL, el nombre de usuario y la contraseña de Zimbra para obtener el token de autenticación correspondiente. A continuación, puede utilizar el token para sincronizar carpetas y documentos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Al igual que muchos otros actores, Lotus Blossom ha pasado a recurrir en mayor medida a servicios legítimos como Dropbox, Twitter y Zimbra para eludir la detección. Se trata de una tendencia habitual en la que los atacantes abusan deliberadamente de los servicios (se abre en una nueva pestaña) para que su actividad pase desapercibida entre el tráfico habitual de la empresa.
La cronología elaborada por Cisco Talos sobre las diferentes variantes de Sagerunex indica que el autor comenzó a hacer un uso indebido de servicios legítimos en 2018, antes del gran repunte registrado en los últimos años.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
