En el resumen de esta semana, CTI investiga un programa de robo de información escrito en Python denominado «Emansrepo», que se propaga a través del correo electrónico y cuenta con tres cadenas de ataque diferentes. A continuación, CTI analiza un informe reciente de Palo Alto que abarca 19 dominios de nivel superior (TLD) que se han puesto en circulación durante el último año. Por último, CTI concluye con una descripción general de KTLVdoor, una nueva puerta trasera multiplataforma creada por el actor malicioso de habla china conocido como Earth Lusca.
1. El programa malicioso Emansrepo Stealer se propaga a través del correo electrónico
Investigadores de Fortinet han detectado recientemente un programa de robo de información (infostealer) escrito en Python de tipo « » denominado Emansrepo , que se propaga a través de correos electrónicos que contienen órdenes de compra y facturas falsas.
Según Fortinet, el malware comprime los datos procedentes de los navegadores y de los archivos antes de filtrarlos. Esta campaña está en marcha desde el November 2023.
Las cadenas de ataque de Emansrepo
Los investigadores observaron tres cadenas de ataque diferentes de Emansrepo entre julio y August 2024. A juzgar por sus conclusiones, parece que los flujos de ataque de la campaña están aumentando en complejidad.
- La primera cadena contiene un archivo adjunto de correo electrónico con un «dropper» que se hace pasar por una página de descarga. Según Fortinet, crea un elemento de enlace que apunta a los datos de «Purchase-Order.7z», utiliza el método click() para «descargar» el archivo 7z y, a continuación, redirige a una página web que no guarda relación alguna con el tema. El archivo comprimido también contiene un ejecutable compilado con AutoIT que incluye módulos de Python destinados a sustraer información.
- En la segunda cadena, el correo electrónico contiene un archivo ZIP con un archivo HTA. Utiliza un archivo fuente basado en JavaScript para descargar un script de PowerShell destinado a la siguiente fase.
- La tercera cadena consiste en un correo electrónico de phishing que contiene un enlace a un archivo por lotes ofuscado. De este modo, se descargará y se ejecutará el script de PowerShell.
El malware de Emansrepo
El programa de robo de información almacena los datos sustraídos en carpetas temporales, los envía al autor de la amenaza y, a continuación, elimina dicha información.
El malware intentará recopilar diversa información, como datos de inicio de sesión, datos de tarjetas de crédito, historial de navegación y descargas. A continuación, copiará los archivos PDF de las carpetas «Escritorio», «Documentos», «Descargas» y «Recientes», y comprimirá las carpetas correspondientes a las extensiones del navegador, los monederos de criptomonedas y mucho más. Además, el malware copiará los archivos de cookies y comprimirá los datos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Además de hacer evolucionar continuamente la cadena de ataque, el actor está utilizando más de una cadena a la vez —o, al menos, pasando con gran rapidez de una a otra—.
Afortunadamente, todas las cadenas de ataque parecen comenzar con correos electrónicos de phishing de que utilizan el señuelo habitual de las órdenes de compra o las facturas, algo que suele incluirse en el material de formación sobre concienciación en materia de seguridad.
2. Palo Alto arroja luz sobre los dominios de primer nivel en un nuevo informe
En su último informe, Palo Alto analiza 19 nuevos dominios de nivel superior (TLD) que se han puesto en marcha durante el último año.
Su investigación pone de manifiesto la existencia de múltiples campañas de phishing a gran escala, así como la distribución de programas potencialmente no deseados. Asimismo, parece existir una correlación entre la fecha de disponibilidad general de los nuevos TLD y su popularidad.
Fases de implantación de los TLD
El informe indica que los TLD se implantan por fases. Cada TLD se registra en una base de datos oficial —o registro— y debe ser aprobado antes de su puesta en circulación.
Tras su aprobación, pasan por varias fases, entre las que se incluyen la fase «sunrise», la fase «landrush», el acceso anticipado y la disponibilidad general.
- Durante la fase obligatoria de «sunrise», el registro solo está disponible para quienes dispongan de un registro de marca validado.
- Durante la fase de «landrush», el registro de nombres de dominio específicos o premium está abierto al público. En ocasiones, dan lugar a una subasta.
- Algunos dominios de nivel superior (TLD) pasarán por un periodo de acceso anticipado durante el cual se podrá registrar un dominio a un precio superior antes del lanzamiento oficial.
- Por último, el dominio de nivel superior (TLD) pasa a estar disponible de forma generalizada y queda a disposición del público.
- Fuentes de datos
La investigación de Palo Alto se centra en 19 dominios de nivel superior (TLD) que se han lanzado recientemente o que se encuentran en alguna de las fases mencionadas anteriormente, previas a su disponibilidad general. Entre los dominios de nivel superior (TLD) se incluyen .bot, .box, .case, .channel, .dad, .esq, .foo, .ing, .lifestyle, .living, .meme, .mov, .music, .nexus, .phd, .prof, .vana, .watches y .zip.
Casos prácticos
Palo Alto utilizó un sistema de detección basado en grafos para analizar dominios, extraer datos relacionados y generar visualizaciones. Los investigadores sometieron cada gráfico a un proceso de agrupación para buscar puntos en común. Los resultados revelan ataques de phishing a gran escala, la distribución de programas potencialmente no deseados (PUP), campañas de bromas o memes y sitios web de intercambio de archivos mediante torrents.
Un grupo de actividades puso de manifiesto un señuelo que engaña a las víctimas para que escaneen un código QR. El ataque pretende que la víctima comience a enviar mensajes de texto e intenta exponerla a diversas estafas, spam y campañas de recopilación de datos. En total, en esta campaña se utilizaron 92 dominios pertenecientes al dominio de nivel superior «.bot».
Puede consultar más casos prácticos y campañas identificadas en , así como en el informe de Palo Alto titulado «».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El análisis de Palo Alto pone de manifiesto algunos aspectos interesantes. Por ejemplo, confirma que los actores tienden a analizar y a aprovechar el cambiante panorama de amenazas, valiéndose de noticias de gran repercusión, nuevas tecnologías, vulnerabilidades emergentes y nuevos dominios de nivel superior (TLD).
Su investigación también demuestra la rapidez con la que los autores de amenazas pueden utilizar con fines maliciosos y abusar de los dominios de nivel superior (TLD) tan pronto como se crean. Por ello, es importante estar atento a todos los dominios, especialmente a aquellos que parezcan sospechosos.
3. Earth Lusca lanza una nueva puerta trasera multiplataforma
Según un informe reciente de Trend Micro, el actor malicioso de habla china conocido como Earth Lusca está utilizando actualmente una nueva puerta trasera multiplataforma de tipo « » denominada KTLVdoor.
La puerta trasera, que se hace pasar por diferentes utilidades del sistema, se detectó en un ataque a gran escala que afectó a más de 50 C2 servidores. Hasta el momento, los investigadores solo han identificado un objetivo confirmado de la operación, que es una empresa comercial con sede en China.
Análisis del malware KTLVdoor
La nueva puerta trasera está muy enmascarada y se hace pasar por distintas utilidades del sistema. Los usuarios utilizan esta herramienta para diversas tareas, entre las que se incluyen la gestión de archivos, la ejecución de comandos y el escaneo remoto de puertos. Los investigadores han descubierto una versión del malware para Windows y Linux.
- de ofuscación del malware: Como se ha señalado, este malware presenta un alto grado de ofuscación. Trend Micro señala que muchas cadenas incrustadas son ilegibles, que se han eliminado los símbolos y que a la mayoría de las funciones y paquetes se les ha cambiado el nombre por cadenas que parecen aleatorias.
- de configuración: El primer paso del malware consiste en inicializar los parámetros de configuración del agente, que están cifrados mediante XOR y son Base64-encoded. El formato de archivo es un formato TLV-live personalizado al que se le antepone «KTLV». Parte de la estructura de configuración es la estructura HostInfo, que contiene parámetros sobre el equipo infectado, entre los que se incluyen el nombre de usuario, la dirección IP, el nombre del host, el nombre del proceso, el sistema operativo, los discos, el tiempo de actividad, el tiempo de inactividad y otros datos.
- Configuración de conexión: Los C2 servidores se almacenan como el valor «connect», que está cifrado con AES-GCM, y Base64-encoded.
- de comunicación: Una vez completada con éxito la inicialización, el agente iniciará un bucle de comunicación con un servidor C2 . Esta comunicación envía y recibe mensajes comprimidos con GZIP y cifrados. Los mensajes pueden transmitirse en modo simplex o dúplex.
- Recepción de tareas: El agente implementará rutinas de gestión para procesar las tareas que reciba del C2. Estos controladores sirven para tareas como descargar y cargar archivos, iniciar shells interactivos y otras funciones.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Trend Micro ha detectado más de 50 C2 servidores, lo cual supone una cifra extremadamente elevada, sobre todo teniendo en cuenta que solo hay un objetivo confirmado. Esto podría indicar que se están realizando pruebas en una fase temprana.
Se cree que la herramienta está relacionada con Earth Lusca, que es un actor de habla china. Sin embargo, dado que los actores de habla china suelen compartir el mismo material de trabajo, es posible que esta herramienta se generalice en el futuro.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
