En el resumen de esta semana, CTI analiza una campaña de phishing en curso que abusa de las entradas de actualización en encabezados HTTP. A continuación, CTI proporciona una actualización sobre el grupo de Araña dispersa, que está llevando a cabo activamente ataques de ingeniería social y focalizando cuentas en la nube. Finalmente, CTI investiga UNC2970, un actor que se enmascara como reclutador y se dirige a las víctimas bajo el ocultamiento de vacantes de trabajo.
La campaña de phishing explota los encabezados HTTP para el robo de credenciales
Los investigadores de Palo Alto advierten sobre una campaña de phishing en curso que explota entradas de actualización en encabezados HTTP (se abre en una nueva pestaña) para entregar páginas de inicio de sesión de correo electrónico falsificadas.
La campaña difiere de otras campañas de phishing distribuidas a través del contenido HTML, ya que utiliza el encabezado de respuesta enviado por un servidor, que ocurre antes de que se procese el contenido HTML. Entre mayo y julio, los investigadores identificaron aproximadamente 2,000 direcciones URL maliciosas diarias que estaban asociadas con la campaña.
Cómo funciona la técnica
Los actores de amenazas a menudo aprovechan las herramientas y técnicas fácilmente disponibles para realizar campañas de phishing. Los actores ahora utilizan una técnica de actualización de encabezado para incorporar enlaces de phishing y crear señuelos convincentes. Los enlaces maliciosos apuntan a cada usuario incorporando la dirección de correo electrónico del usuario en el campo de actualización del encabezado de respuesta HTTP. Esto obliga al navegador a actualizar o volver a cargar automáticamente una página web sin ninguna interacción del usuario.
Al combinar esta técnica con dominios falsificados que imitan dominios legítimos, los actores de amenazas son más propensos a engañar a las víctimas para que proporcionen sus credenciales.
Ejemplo de ataques de phishing de actualización de encabezado
Los enlaces maliciosos utilizados en el ataque intentan convencer a las víctimas de que ingresen sus credenciales con un sitio que se asemeja mucho a la página de inicio de sesión legítima. Estas páginas generalmente incluyen la dirección de correo electrónico de la organización en el sitio completando previamente la dirección de correo electrónico de la víctima como nombre de usuario y solicitando una contraseña.
En junio, Palo Alto observó campañas a gran escala (se abre en una nueva pestaña). Una campaña fue notable porque utilizó correos electrónicos que se originaron desde la misma dirección IP de origen y la misma dirección de remitente falsificada. El tema de correo electrónico más común de esta campaña fue “Completo con DocuSign: Formulario ACH/EFT ***”. Los enlaces maliciosos se entregaron a través de direcciones URL de actualización de encabezado que contenían las direcciones de correo electrónico de los destinatarios.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Esta técnica de actualización de encabezado es un excelente ejemplo de cómo los actores adoptan nuevas técnicas y demuestran con qué rapidez pueden escalar sus ataques. El actor detrás de esta campaña logró llevar a cabo múltiples ataques a gran escala en solo unos meses, alcanzando 2,000 dominios diarios.
Esto requiere mucha supervisión e indica que el actor tenía los recursos necesarios para mantener una campaña como esta. Estas campañas resaltan cómo los encabezados de actualización HTTP se pueden usar maliciosamente y brindan a los defensores una técnica adicional a la que deben estar atentos.
La araña dispersa se dirige a la nube
Los investigadores de EclecticIQ han estado investigando las operaciones de ransomware, específicamente aquellas dirigidas a la infraestructura en la nube. Recientemente descubrieron que gran parte de la infraestructura y los TTP observados en estos ataques se alinean con el grupo de araña dispersa también detrás del ataque de alto perfil de MGM y otros ataques avanzados de ingeniería social.
Desde el ataque de MGM, Scattered Spider ha llevado a cabo varios otros ataques de ingeniería social. Utilizan tanto vishing (phishing de voz) como smishing (phishing de texto) para engañar a sus víctimas y se han observado apuntando al centro de asistencia de TI y a los administradores de identidad. Este actor busca principalmente ganarse y abusar de la confianza.
De cuentas de usuario a infraestructura en la nube
La investigación más reciente de EclecticIQ revela que Scattered Spider con frecuencia compromete la red con la ayuda de ingeniería social contra la nube.
Una forma en la que el grupo obtiene acceso no autorizado a los ambientes de nube es a través de una fuga accidental de credenciales. El actor aprovecha los tokens de autenticación en la nube filtrados que se expusieron accidentalmente a lugares como GitHub debido a la codificación.
El actor también aprovecha las campañas de phishing y la ingeniería social para comprometer las cuentas y tiende a dirigirse a las personas del centro de servicios de TI y a los equipos de ciberseguridad. Los ataques se centran en servicios en la nube como Entra ID, AWS EC2 y aplicaciones SaaS.
Ladrones de credenciales y agentes de acceso inicial
EclecticIQ notó la venta de tokens y acreditaciones de autenticación para el servicio en la nube en foros subterráneos, lo que proporciona un medio adicional para obtener acreditaciones y acceder a la nube.
Scattered Spider también utiliza malware conocido de robo de credenciales, incluidos Stealc, Raccoon Stealer, Vidar Stealer y RedLine Stealer.
Intercambio de SIM y aplicaciones SaaS críticas
Este actor comúnmente aprovecha el intercambio de SIM para eludir las protecciones de autenticación multifactor (multi-factor authentication, MFA) y acceder a aplicaciones SaaS críticas.
Después de acceder correctamente a una cuenta de usuario, el actor se dirigirá a la infraestructura en la nube y, en algunos casos, creará máquinas virtuales para omitir la seguridad existente.
Aprovechar las herramientas de código abierto para el reconocimiento de la nube
Después de acceder a una infraestructura en la nube a través de tableros de control habilitados para SSO para M365, el actor realiza un amplio reconocimiento.
El actor buscará aplicaciones integradas dentro del entorno de la nube y se enfocará en los sistemas de CRM, plataformas de gestión de documentos, soluciones de almacenamiento de contraseña, repos de códigos y más. La araña dispersa también buscará información que podría utilizarse para la extorsión o para dirigirse a terceros asociados con la víctima.
Persistencia en infraestructuras en la nube
Desde el comienzo de 2024, se ha observado al actor abusar de la sincronización entre usuarios (CTS) dentro de Microsoft Entra ID.
El actor también aprovecha a los proveedores de identidad federados en los usuarios de Entra ID y Okta para la persistencia.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
La investigación de EclecticIQ examina las operaciones del grupo entre 2023 y el segundo trimestre de 2024. Sus resultados muestran que la araña dispersa ha sido bastante exitosa debido, en gran parte, a su ingeniería social calificada. La investigación de EclecticIQ también revela que este grupo está enfatizando la implementación de ransomware en los ambientes de la nube.
Cabe destacar que en July 2024, una persona vinculada al grupo de araña dispersa fue arrestada. Solo el tiempo dirá si la operación continúa siendo exitosa.
UNC2970 explota a las personas que buscan trabajo en los EE. UU.
Mandiant está rastreando a un actor conocido como UNC2970 (se abre en una nueva pestaña). Este actor se enmascara como reclutador y se dirige a las víctimas bajo la apariencia de vacantes de trabajo.
Últimamente, el actor ha estado interactuando con las víctimas por correo electrónico y WhatsApp y compartiendo un archivo malicioso que contiene un archivo PDF cifrado y una aplicación de visor de PDF troyano. El archivo solo se puede abrir con la versión troyana incluida de SumatraPDF y busca entregar una puerta trasera.
Cadena de infección UNC2970’s
Mandiant investigó un incidente en el que una víctima descargó y abrió un archivo ZIP protegido con contraseña recibido a través de WhatsApp. El archivo incluía cinco archivos: un PDF que contenía el archivo de señuelo que se muestra a la víctima y la puerta trasera de MISTPEN, un archivo DLL troyano, dos archivos DLL legítimos y la aplicación de visor SumatraPDF de código abierto legítima ejecutable.
Mandiant cree que se le indicó al usuario que abra el archivo PDF que contiene el programa de visor de PDF troyano. Es importante tener en cuenta que esta no es una vulnerabilidad en SumatraPDF, sino una versión troyana. La carga útil de MISTPEN finalmente se carga en la memoria.
- BURNBOOK es cargado por el ejecutable SumatraPDF.exe. Es un iniciador que ejecuta una carga útil cifrada almacenada en un archivo y la escribe en el disco. Contiene un código malicioso activado cuando el usuario abre el archivo señuelo PDF.
- La puerta trasera de MISTPEN intenta descargar y ejecutar archivos PE. El malware es una versión modificada del complemento binhex Notepad++, v2.0.0.1. Se comunica a través de HTTP con varias API de Microsoft Graph. Admite múltiples comandos, incluidos el análisis, la carga en la memoria, la ejecución de la carga útil de PE recibida, la finalización de procesos, la actualización de su tiempo de inactividad en la configuración y más.
- El cargador TEARPAGE está integrado en la sección de recursos de BURNBOOK. Se carga a través del secuestro de órdenes de búsqueda de DLL y descifrará una transferencia cifrada. La salida descifrada es la puerta trasera MISTPEN.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Los actores de amenazas buscan constantemente nuevos esquemas de ingeniería social, y lo último parece ser hacerse pasar por reclutadores de trabajo.
Algunos actores envían pruebas de codificación falsas a los solicitantes de trabajo que contienen malware. La víctima nunca llega a la etapa de prueba y se ve afectada simplemente al abrir lo que cree que es un archivo PDF de la descripción del trabajo.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium para iniciar una conversación.
Para obtener más información, póngase al día con nuestros recientes redondeos de inteligencia sobre amenazas cibernéticas.
