Esta semana, CTI ofrece las últimas novedades sobre una campaña de ingeniería social que se está llevando a cabo. A continuación, CTI analiza una operación de ransomware relativamente nueva denominada «Mad Liberator». Por último, el CTI concluye con una visión general de cómo ha evolucionado el mundo clandestino de la ciberdelincuencia a lo largo de los años.
1. Aparecen nuevas herramientas en una campaña de ingeniería social en curso
Rapid7 lleva varios meses realizando un seguimiento de una campaña de ingeniería social en curso, denominada « » ( ). En estos momentos se está observando un cambio en las herramientas que utiliza el autor de la amenaza, incluido el paso de los binarios nativos de Windows a un ejecutable .NET que simula descargar filtros de correo basura.
Según Rapid7, el cebo utilizado por el autor de la amenaza no parece variar a lo largo de esta campaña. El actor enviará una gran cantidad de correos electrónicos a la víctima y se pondrá en contacto con el usuario —normalmente a través de Teams— fingiendo ofrecer una solución a un «problema». El estafador convencerá a la víctima para que instale AnyDesk, lo que le permitirá acceder de forma remota al dispositivo y llevar a cabo actividades maliciosas.
A continuación, el actor ejecuta el archivo «antispam.exe», que simula descargar un filtro de correo basura. Este falso filtro antispam le pide al usuario que introduzca sus credenciales. A continuación, el actor ejecuta una serie de comandos binarios y scripts para conectarse a su servidor C2 . Se han observado varias cargas útiles posteriores, además de túneles SSH inversos y la herramienta de supervisión y gestión remota (RMM) «Level» para el movimiento lateral.
Detalles técnicos
Al analizar las cargas útiles secundarias utilizadas en el ataque, Rapid7 descubrió que muchas de ellas estaban firmadas con el mismo certificado.
Antispam.exe
Como se ha señalado anteriormente, se trata de un programa de robo de credenciales que se hace pasar por un filtro de correo basura. El programa ejecutará un bucle que mostrará el mismo mensaje 1,023 veces en la ventana. Este bucle falso finalizará solicitando al usuario que introduzca sus credenciales y mostrándole un mensaje falso de éxito.
Updatex.exe
A continuación, el actor ejecuta una serie de archivos ejecutables, cada uno de los cuales comienza con la palabra «update», seguida de un número. Todos los archivos ejecutables están firmados con el mismo certificado, pero cada uno de ellos desempeña una función diferente.
- El archivo Update1.exe se hace pasar por un instalador de Yandex Disk, que es un servicio de almacenamiento en la nube y de intercambio de archivos. La carga útil descifrará y ejecutará un segundo archivo ejecutable mediante la inyección local de PE. Este ejecutable de segunda fase es un baliza y se conectará al servidor C2 mediante una solicitud de cliente HTTP de Golang. Rapid7 considera que, a juzgar por las cadenas de texto incrustadas, el servidor al que se conecta funciona como un proxy SOCKS.
- El archivo «Update4.exe» ( ) se hace pasar por una copia de «APEX Scan», un escáner antivirus de Trend Micro que contiene código malicioso. Una vez que se ejecute, se iniciará el código shell encargado de conectarse al C2 y de actuar como proxy SOCKS.
- El archivo Update6.exe intenta aprovechar la vulnerabilidad CVE-2022-26923 para añadir una cuenta de equipo si el controlador de dominio es vulnerable. Se cree que el código fuente se ha copiado de un módulo de Cobalt Strike disponible públicamente.
- El archivo Update7.exe, junto con el archivo Update8.exe, contiene el malware SystemBC. Este malware funciona como un proxy SOCKS, pero también como un «dropper» para cargas útiles adicionales.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El autor del ataque está cambiando las herramientas y las cargas maliciosas que utiliza, pero no el señuelo inicial. Es evidente que el autor de la amenaza debe de estar obteniendo cierto éxito al bombardear a las víctimas con correos electrónicos y, a continuación, llamarles para ofrecerles una solución al problema que ellos mismos han creado.
Dicho esto, resulta sorprendente pensar que este señuelo pueda estar resultando eficaz. Las organizaciones deben prever estas llamadas con antelación y estar atentas a cualquier actividad fraudulenta.
2. El ransomware «Mad Liberator» ataca a los usuarios de AnyDesk
Sophos ha estado investigando recientemente una operación de ransomware relativamente nueva denominada « » y «Mad Liberator». Este actor apareció por primera vez en « July 2024 » y se centra en víctimas que tienen instalado AnyDesk, realizando llamadas no solicitadas con la esperanza de que la víctima acepte la solicitud de conexión.
Al igual que muchas operaciones de ransomware, Mad Liberator se centra en la exfiltración de datos. Sophos aún no ha observado ningún caso en el que el autor haya cifrado datos, aunque otros estudios sugieren que el grupo podría recurrir al cifrado de forma ocasional. El actor gestiona un sitio web dedicado a la filtración de datos en el que publica los datos de sus víctimas y utiliza principalmente técnicas de ingeniería social para obtener el acceso inicial.
Secuencia de ataque de Mad Liberator
El autor de la amenaza recurre en gran medida al uso de AnyDesk y se centra en víctimas que ya lo tienen instalado. Sophos no ha determinado cómo el atacante selecciona un ID concreto de AnyDesk, ni ha identificado conexiones o contactos entre el atacante y la víctima antes de que esta reciba una solicitud de conexión no solicitada a través de AnyDesk.
En el incidente observado por Sophos, la víctima sabía que el departamento de TI de su organización utilizaba AnyDesk de forma legítima y supuso que la solicitud de conexión formaba parte de las operaciones habituales del equipo de TI. Una vez que la víctima aceptó la solicitud de conexión, el autor de la amenaza pudo transferir un archivo binario malicioso a su dispositivo y ejecutarlo.
El archivo binario transferido se denominaba «Microsoft Windows Update» para no levantar sospechas e incluso mostraba a la víctima una pantalla que imitaba una actualización de Windows. A continuación, el actor utilizó una función de AnyDesk para desactivar la entrada del teclado y el ratón del usuario, de modo que este no pudiera intentar interferir en la ejecución.
Mientras se mostraba al usuario la falsa actualización de Windows, el atacante procedió a acceder a la cuenta de OneDrive de la víctima. Utilizaron la opción «AnyDeskFileTransfer» para extraer archivos de la cuenta de OneDrive. A continuación, el actor pasó a utilizar Advanced IP Scanner para comprobar si se podía acceder de forma lateral a otros dispositivos de la red. Tras la exfiltración, el autor creó varias notas de rescate y las dejó en distintos lugares, no solo en el dispositivo de la víctima.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Para que Mad Liberator funcione, el usuario final debe aceptar primero una solicitud de conexión de AnyDesk no solicitada. Esta técnica debería parecer sospechosa a los usuarios finales.
Si este actor evoluciona para incorporar técnicas adicionales de ingeniería social en sus métodos de acceso inicial, es probable que tenga mucho más éxito a la hora de conseguir que los usuarios acepten las solicitudes de conexión de AnyDesk.
3. Bitdefender analiza la evolución del mundo clandestino de la ciberdelincuencia
Un informe reciente de Bitdefender analiza cómo sigue evolucionando el mercado negro de software malicioso « » ( ).
«Atrás quedaron los días de los ataques de «bragging rights» que resultaban (relativamente) inofensivos», afirma Bitdefender.
««En la actualidad, los autores de amenazas operan como parte de organizaciones muy bien estructuradas, que obtienen beneficios de millones al año, ya sea comprometiendo directamente a otras organizaciones o prestando sus servicios a otros adversarios menos cualificados».
Según Bitdefender, este cambio se debió a una mayor superficie de ataque digital, la aparición de más mercados en la dark web, los grandes volúmenes de datos filtrados, las plataformas de comunicación privada como Signal y Telegram, las criptomonedas y el aumento de las recompensas.
En la actualidad existen muchos tipos diferentes de organizaciones de ciberdelincuentes que se valen de la dark web. Estos abarcan desde actores independientes y grupos de tamaño pequeño y mediano hasta grandes grupos como Conti. Independientemente del tipo de grupo, suelen recurrir al submundo de la ciberdelincuencia para obtener beneficios económicos. Esto suele llevarse a cabo mediante la venta de vulnerabilidades, datos robados, malware, ransomware, acceso a organizaciones y servicios comprometidos, entre otros.
Bitdefender destaca algunos aspectos concretos que están impulsando la actividad en el mundo clandestino de la ciberdelincuencia:
- Los servicios de spam y phishing constituyen una parte significativa del mercado negro de la ciberdelincuencia. Estos servicios suelen ofrecerse a través de la web oscura u otras plataformas de comunicación y pueden abarcar una amplia gama de prestaciones. Los clientes de estos servicios tienen la opción de adquirir diversos componentes del servicio, como listas de correo electrónico masivas, acceso a servidores comprometidos y kits de phishing.
- Los servidores proxy de alquiler constituyen otro componente del mercado negro. Los servidores proxy maliciosos suelen aprovechar las redes infectadas para ocultar el origen de la actividad maliciosa. Los autores de amenazas aprovechan estos servidores proxy para lanzar ataques y dificultar a los defensores la tarea de determinar el verdadero origen de la actividad. Además, proporcionan un cierto grado de anonimato al actor.
- Los grupos APT suelen intentar encubrir sus actividades de espionaje mediante el uso de ransomware e imitan las tácticas, técnicas y procedimientos (TTP) de otros actores para evitar que se les identifique.
Avances recientes
Bitdefender ha detectado algunos patrones que revelan cómo sigue cambiando el panorama. Por ejemplo, se observa un patrón en el intercambio de información. Del mismo modo que las organizaciones comparten abiertamente información para ayudar al mundo en general a protegerse frente a amenazas de seguridad específicas, los actores también comparten información educativa y avisos sobre las tácticas de las fuerzas del orden para ayudar a evitar que otros actores sean detenidos.
Se observa otra tendencia en la adopción de la inteligencia artificial, que está siendo utilizada por actores menos sofisticados como una «trampa» para llevar a cabo ataques más sofisticados.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los actores maliciosos se adaptan constantemente al mundo cambiante que les rodea y reaccionan ante los avances geopolíticos y tecnológicos para seguir siendo eficaces.
Según Bitdefender, no existe una respuesta ni una solución única que permita eliminar por completo el riesgo que plantean los autores de amenazas. Sin embargo, «al comprender cómo actúan, qué les motiva y cómo atacan activamente a las organizaciones, podrá tomar decisiones más fundamentadas a la hora de desarrollar una estrategia integral de ciberresiliencia».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
