Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium investiga una nueva campaña en la que participa el grupo de ransomware BlackSuit. A continuación, el equipo analiza la evolución de AsyncRAT hasta convertirse en una compleja red de bifurcaciones. Por último, concluimos con una descripción general de HazyBeacon, una puerta trasera de Windows que hasta ahora no se había documentado.
El funcionamiento del ransomware BlackSuit: la doble amenaza del cifrado y el robo de datos
Una entrada reciente del blog de Cybereason ofrece un análisis en profundidad de una campaña de ransomware de llevada a cabo por el grupo de ransomware BlackSuit.
¿Qué es el ransomware BlackSuit?
BlackSuit es una sofisticada operación de ransomware que se cree que es una nueva denominación del grupo Royal (una rama de la infame banda Conti), lo que indica un alto nivel de madurez operativa y capacidad de amenaza.
Las campañas de BlackSuit combinan la sustracción de datos con el cifrado de archivos, lo que les permite ejercer la máxima presión sobre las víctimas.
[Cómo negociar con los autores de ataques de ransomware: lecciones de un negociador de primer nivel]
¿Cómo se infiltra y se desplaza BlackSuit por las redes?
Cybereason observó que BlackSuit utilizaba herramientas como (PsExec),, (Cobalt Strike),, (RDP), y (rclone) para obtener acceso inicial, desplazarse lateralmente y mantener la persistencia.
En uno de los ataques observados, se utilizó PsExec para implementar «Beacons» de Cobalt Strike de forma remota, mientras que se aprovechó el protocolo RPC de para crear servicios remotos. Se trata de una táctica poco habitual, pero digna de mención.
What are BlackSuit’s command and control (C2) techniques?
Tal y como señala Cybereason, los atacantes recurren en gran medida a los comandos de PowerShell para conectarse a su infraestructura C2 . Los atacantes descargan cargas útiles, entre las que se incluyen Cobalt Strike Beacon y el archivo binario del ransomware, tanto desde direcciones IP externas como desde direcciones IP internas comprometidas, lo que complica su detección.
Este enfoque de doble fuente complica la detección y pone de manifiesto la capacidad de adaptación del grupo.
¿De qué manera intensifica BlackSuit sus ataques una vez que ha obtenido acceso?
Una vez dentro de una red, BlackSuit utiliza Rundll32.exe para cargar los «beacons» de Cobalt Strike y conectarse a dominios maliciosos. A continuación, extrae las credenciales a través de LSASS, exfiltra datos utilizando un binario rclone renombrado (vmware.exe) y elimina las copias de seguridad para impedir su recuperación.
El grupo establece rutas de exclusión para evitar el cifrado de archivos críticos para el sistema y de sus propias notas de rescate, lo que refuerza su enfoque sigiloso y estratégico.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los actores maliciosos están difuminando cada vez más la línea divisoria entre las tácticas del «equipo rojo» o la actividad legítima y la ciberdelincuencia real, como lo demuestra el uso que hace BlackSuit de herramientas legítimas como rclone y Cobalt Strike.
Lo interesante de este grupo es su trayectoria, que se remonta desde Conti, pasando por Royal, hasta BlackSuit. Este tipo de cambio de imagen y adaptación es habitual entre los grupos de actores maliciosos y hace que la atribución resulte especialmente complicada.
El auge de las variantes de AsyncRAT en el malware de código abierto
Según ESET, el troyano de acceso remoto de código abierto AsyncRAT ha evolucionado hasta convertirse en una compleja red de variantes, cada una de ellas adaptada con características únicas.
Al analizar su origen y la diversidad de sus complementos, los investigadores ponen de relieve la capacidad de adaptación de AsyncRAT y la amenaza persistente que supone para la ciberseguridad.
¿Qué es AsyncRAT y por qué cuenta con tantas variantes?
La versión original de AsyncRAT se publicó en GitHub en 2019. Incluye funciones para el registro de pulsaciones de teclas, la captura de pantalla, el robo de credenciales y mucho más.
Dado que el malware es de código abierto, goza de gran popularidad entre los autores de amenazas y ha dado lugar a varias variantes. Estas ramificaciones están relacionadas entre sí por las clases de criptografía personalizadas que utiliza el malware.
ESET señala que, si bien AsyncRAT comparte componentes criptográficos con Quasar RAT —como las clases idénticas Aes256 y Sha256 —, no se trata de una bifurcación directa, sino de una reescritura completa. Su arquitectura modular y sus mejoras en materia de sigilo lo hacen más difícil de detectar y de localizar, lo que contribuye a su popularidad entre los autores de amenazas.
¿Cómo identifica ESET las variantes de AsyncRAT que circulan en la red?
ESET utilizó diversos métodos para identificar y clasificar las muestras. La forma más sencilla de identificar estas variantes consistía en examinar la configuración del malware.
En la mayoría de las muestras, ESET constató que el campo «versión» de la configuración resultaba útil, ya que contenía bien el propio nombre de la bifurcación, bien el nombre del autor del malware. En algunos casos, ese campo estaba en blanco, por lo que los investigadores tuvieron que buscar en otros lugares pistas como el valor «Salt» para el cifrado.
ESET también recabó información analizando el certificado utilizado para autenticar el servidor C2 , el cual, en ocasiones, permitía rastrearlo hasta la bifurcación anterior.
¿Qué relación existe entre las variantes de AsyncRAT, como DcRAT y VenomRAT?
Según ESET, las variantes de AsyncRAT más utilizadas son DcRAT y VenomRAT.
DcRAT se desarrolló a partir de AsyncRAT, incorporando características y funcionalidades adicionales, mientras que se cree que VenomRAT se inspiró en DcRAT.
Además de estas, también circulan numerosas variantes menos conocidas, que ESET analiza con mayor detalle.
¿Por qué merece la pena prestar atención a las variantes menos conocidas de AsyncRAT?
ESET ha identificado varias variantes menos conocidas de AsyncRAT que incorporan capacidades que van más allá del comportamiento habitual de un RAT, entre las que se incluyen:
SantaRATBoraRATNonEuclid RATScreamer.dllPiano.dllService.dllMaps.dllWormUsb.dll
Si bien algunas, como SantaRAT y BoraRAT, parecen ser variantes de broma, otras —como Screamer.dll y WormUsb.dll— cuentan con complementos distintivos, tales como propagadores USB y cargas útiles novedosas.
Estos ejemplos ponen de manifiesto la flexibilidad del marco de código abierto de AsyncRAT y la creatividad —y, en ocasiones, incluso el sentido del humor— de su comunidad de usuarios.
Para quienes estén interesados en un análisis técnico más detallado, merece la pena leer el informe completo de ESET.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La investigación de ESET resulta reveladora. Se ha hablado mucho sobre cómo las variantes se derivan de otro malware, pero ver cuántas ramificaciones existen a partir de un único troyano AsyncRAT realmente permite poner esto en perspectiva.
El gran número de bifurcaciones de AsyncRAT supone un reto para los defensores, ya que la detección basada en firmas puede tener dificultades para seguir el ritmo de un panorama en constante evolución. Esta investigación también pone de relieve la naturaleza ambivalente del software de código abierto, que puede resultar muy útil para la colaboración, pero que también permite a determinados actores utilizar estas herramientas con fines maliciosos con gran facilidad.
Más resúmenes de CTI sobre AsyncRAT
AsyncRAT ha aparecido en varias campañas de amenazas seguidas por el equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium. Si desea obtener más información sobre cómo se está utilizando junto con otro malware y el uso indebido de infraestructuras, consulte estas entradas del blog:
- AsyncRAT, el malware PikaBot y los servidores MS SQL, en el punto de mira (Publicado el January 18, 2024): Destaca una nueva campaña que distribuye AsyncRAT a través de páginas de phishing de y cargadores de JavaScript ofuscados, junto con la distribución de PikaBot y el aprovechamiento de vulnerabilidades en servidores MS SQL
- La unidad cibernética del Departamento de Justicia investiga amenazas patrocinadas por Estados (Publicado el June 27, 2023): Analiza la presencia de AsyncRAT en campañas vinculadas a actores estatales y al uso indebido de infraestructuras, incluidos los buckets AWS S3 caducados
- Los ataques del ransomware ESXiArgs tienen como objetivo los servidores VMware (Publicado el February 14, 2023): Se analiza el uso de AsyncRAT en las actividades preparatorias previas al ransomware y su papel en las campañas dirigidas a servidores VMware ESXi sin parches.
Estén atentos a las próximas actualizaciones de CTI y a los análisis detallados de las campañas, ya que nuestro equipo sigue realizando un seguimiento de AsyncRAT y sus variantes en constante evolución en el panorama de las amenazas.
El malware HazyBeacon aprovecha AWS Lambda para llevar a cabo actividades de espionaje gubernamental encubiertas
Palo Alto recently discovered a novel Windows backdoor, dubbed HazyBeacon, that exemplifies the growing trend of adversaries abusing cloud-native infrastructure for stealthy C2 operations.
Este malware está relacionado con el grupo de amenazas CL-STA-1020 , que tiene como objetivo a entidades gubernamentales del sudeste asiático y se centra en la recopilación de información de inteligencia.
Uso indebido de las URL de AWS Lambda para el comando y control encubierto
HazyBeacon utiliza AWS Lambda, un servicio de computación sin servidor que ejecuta código en respuesta a eventos sin necesidad de aprovisionar ni gestionar servidores. En 2022, se introdujeron las URL de Lambda para ampliar esta funcionalidad, lo que permite a los desarrolladores invocar funciones de Lambda a través de puntos finales HTTP. However, this convenience has been co-opted by threat actors, who now use Lambda URLs as C2 channels.
Al integrar la actividad de transmisión de señales en el tráfico en la nube de apariencia legítima, los atacantes pueden camuflar las comunicaciones maliciosas entre las operaciones normales de la empresa, lo que dificulta considerablemente su detección.
Implementación sigilosa mediante la carga paralela de DLL y servicios persistentes
Para infiltrarse en los sistemas, HazyBeacon utiliza la técnica de carga lateral de DLL « » ( ) con el fin de camuflar un archivo DLL malicioso como una biblioteca legítima de Windows y ejecutar así su carga útil.
Una vez ejecutado, se conecta al punto final de Lambda controlado por el atacante. Para garantizar su persistencia, el malware instala un servicio de Windows denominado « » (msdnetsvc).
Recopilación selectiva de archivos e intentos de exfiltración a través de la nube
Una de las cargas útiles clave, igfx.exe, es un recopilador de archivos que comprime los archivos seleccionados en función de las extensiones y los intervalos de tiempo especificados. A continuación, el actor fragmenta el archivo en partes más pequeñas para su extracción. Se utilizaron herramientas como , GoogleGet.exe y para intentar realizar subidas a Google Drive y Dropbox, aunque estas fueron bloqueadas finalmente.
Limpieza posterior a la exfiltración para minimizar la detección
Tras la fase de recopilación de datos, el atacante ejecutó comandos de limpieza para borrar las cargas útiles y los archivos, con el fin de minimizar los rastros forenses.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El uso de las URL de AWS Lambda para la comunicación C2 pone de manifiesto cómo los actores maliciosos recurren cada vez más a los servicios en la nube para ocultar actividades maliciosas dentro de infraestructuras de confianza, lo que reduce la eficacia de las defensas tradicionales basadas en el perímetro.
HazyBeacon refleja la tendencia general en las tácticas de las amenazas persistentes avanzadas (APT), en la que los actores están pasando de una infraestructura estática a una infraestructura en la nube. Esta actividad pone de manifiesto una vez más la necesidad de que los defensores adopten estrategias de detección basadas en el comportamiento.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
