En el resumen de esta semana, CTI analiza una plataforma de «phishing como servicio» (PhaaS) denominada ONNX, que actualmente tiene como objetivo 365 cuentas de Microsoft del sector financiero. A continuación, CTI ofrece información actualizada sobre un actor malicioso conocido como «Boolka», que compromete sitios web para distribuir un troyano denominado «BMANAGER». Por último, CTI concluye con una descripción general de SneakyChef, un actor malicioso hasta ahora desconocido vinculado a una campaña de ciberespionaje dirigida contra entidades gubernamentales.
1. ONNX Store se dirige al sector financiero
Una plataforma de phishing como servicio (PhaaS) de , , conocida como ONNX Store , tiene como objetivo cuentas de Microsoft 365 . En la actualidad, los ataques se dirigen contra empleados de entidades financieras y utilizan códigos QR de incluidos en archivos PDF adjuntos.
ONNX Store aumenta sus posibilidades de éxito al incorporar un mecanismo de elusión de « 2FA » que interceptará las solicitudes de sus víctimas. EclecticIQ considera que el autor de la amenaza responsable de la plataforma PhaaS «ONNX Store» es el mismo que el responsable del kit «Caffeine» y que podría tratarse de un cambio de nombre de la plataforma. Ya en 2023, el creador del kit «Caffeine» anunció que se produciría un cambio de nombre y señaló que se había trasladado a «ONNX STORE». El cambio de marca se centra en mejorar la seguridad operativa (OPSEC) de los participantes, ya que Caffeine dependía de un único servidor web compartido para gestionar todas las campañas.
ONNX permite a los usuarios gestionar sus campañas a través de bots de Telegram y cuenta con un canal de asistencia adicional. EclecticIQ ha detectado bots destinados a recibir códigos 2FA , a obtener credenciales de Microsoft Office 365 , a permitir que los atacantes controlen un servidor de correo web desde el que enviar correos electrónicos de phishing a , así como a permitirles realizar pagos, realizar el seguimiento de sus pedidos, generar correos electrónicos de phishing y señuelos de ingeniería social, y disponer de un alojamiento a prueba de fallos.
Según EclecticIQ, ONNX Store utiliza Cloudflare para «retrasar el proceso de retirada de los dominios de phishing».
La tienda ONNYX y el phishing mediante códigos QR
Al igual que muchos otros servicios de phishing actuales, ONNX Store utiliza ahora códigos QR para llevar a cabo ataques.
Este servicio de phishing distribuirá documentos PDF que contengan un código QR. Los archivos PDF suelen aparentar tratar sobre actualizaciones salariales, manuales para empleados y otros temas relacionados con los recursos humanos.
Al escanear el código QR, la víctima será redirigida a un sitio web de phishing controlado por el autor de la amenaza. El objetivo de esta página es sustraer credenciales de inicio de sesión y códigos 2FA .
ONNX Store y JavaScript
ONNX Store utiliza código JavaScript cifrado que se descifra automáticamente al cargarse la página. Esta técnica aporta una protección adicional, especialmente frente a los escáneres antiphishing. El código JavaScript descifrado se encarga de sustraer los 2FA tokens que introduce la víctima.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
ONNX Store cuenta con muchas de las mismas características y funcionalidades que otros kits de phishing existentes, por lo que aún está por ver si realmente tendrá éxito.
Por el momento, los investigadores solo han observado que este kit se utiliza contra entidades financieras. Esto podría cambiar, dado el mayor énfasis que los creadores están poniendo en mejorar la seguridad operativa (OPSEC) para sus usuarios. Además, el uso que hacen de los códigos QR pone de manifiesto su interés por mantenerse al día respecto al panorama de amenazas.
2. Boolka distribuye el troyano BMANAGER mediante ataques SQLi
Un actor malicioso, al que se le ha asignado el nombre de « » (Boolka) , está comprometiendo actualmente sitios web vulnerables para distribuir un troyano denominado «BMANAGER».
Según Group-IB, el actor lleva realizando ataques oportunistas de inyección SQL en varios países desde, al menos, el año 2022, recopilando y sustrayendo datos introducidos por los usuarios. La campaña redirige a los usuarios a una página de destino en la que se les invita a descargar e instalar una extensión del navegador que, en realidad, es el troyano BMANAGER.
Ataques web relacionados con Boolka
Boolka lleva infectando sitios web con código JavaScript malicioso desde el año 2022. Cuando un usuario visita, inevitablemente, uno de los sitios web infectados, el script se descarga y se ejecuta. En primer lugar, el script enviará una solicitud al servidor de Boolka para informarles de que se ha ejecutado. A continuación, procede a recopilar los datos introducidos por los usuarios en el sitio web y extrae la información recopilada.
Recientemente se ha descubierto una versión actualizada de este script que presenta algunas modificaciones. Por ejemplo, ahora comprobará si existe un elemento div concreto con el ID «hookwork» y, en caso de que no exista, creará uno. La nueva versión también incluye comprobaciones adicionales para evitar que se envíen determinadas propiedades al servidor.
Difusión de malware
Se cree ahora que una página de destino descubierta en enero es una prueba de la plataforma de distribución de malware de Boolka. La plataforma se basa en una herramienta de código abierto denominada BeEF. Boolka creó tres dominios distintos para las páginas de destino, pero solo se ha observado el uso de uno de ellos.
En el informe « March 2024», Group-IB observó por primera vez la plataforma de distribución de Boolka en entorno real. Esta plataforma se utiliza para distribuir el programa de descarga BMANAGER.
Malware
Group-IB descubrió varias muestras de malware, todas ellas iniciadas mediante el dropper BMANAGER. También se observó que Boolka utilizaba BMANAGER, el programa de descarga BMANAGER, BMREADER para la exfiltración de datos, BMLOG para el registro de pulsaciones de teclado, BMHOOK para registrar las aplicaciones en ejecución que tienen el foco del teclado y BMBACKUP para el robo de archivos.
Programa de descarga BMANAGER
El programa de descarga intenta descargar y ejecutar el malware BMANAGER. El malware se descarga desde una URL codificada de forma fija en el dropper mediante una solicitud HTTP GET. Consigue la persistencia mediante tareas de Windows que ejecutan el malware cuando un usuario inicia sesión.
BMANAGER
El propio malware descarga archivos desde una dirección predefinida: C2. Creará tareas de inicio, eliminará tareas de inicio y ejecutará diversos archivos ejecutables. Cuando el malware se inicia por primera vez, se registra en el C2 utilizando un GUID generado aleatoriamente que se almacena en una base de datos SQL. Intentará obtener del C2 una lista de las aplicaciones a las que debería dirigirse.
A continuación, el malware obtendrá otros archivos ejecutables del C2. Entre ellos se encuentran BMREADER, BMLOG, BMHOOK y BMBACKUP. La mayoría de las muestras de malware utilizaban una base de datos SQL local que estaba codificada de forma fija en las mismas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Boolka ha evolucionado considerablemente sus tácticas, técnicas y procedimientos (TTP) desde su primer ataque, pasando de limitarse a ataques de inyección SQL de carácter oportunista a crear toda una plataforma de distribución de malware y malware a medida.
Este actor está demostrando ser una amenaza formidable, por lo que resulta sorprendente que no se haya publicado mucha información sobre sus actividades. Por otra parte, parece que la práctica de utilizar ataques de inyección SQL para sustraer datos confidenciales está resurgiendo.
3. SneakyChef implementa SpiceRAT y SugarGh0st
Actualmente se está relacionando a SneakyChef con una campaña de ciberespionaje dirigida contra entidades gubernamentales. Este actor malicioso, hasta ahora desconocido, utiliza documentos escaneados de organismos gubernamentales como señuelo y se ha observado que emplea el malware « SugarGh0st » y «SpiceRAT» en sus campañas.
Acerca de SneakyChef
Cisco Talos identificó por primera vez una campaña que utilizaba el RAT SugarGh0st a mediados de 2023. Desde entonces, han seguido observando campañas que utilizan el mismo malware, lo que les ha llevado a crear un nuevo perfil de actor denominado «SneakyChef». Se cree que este actor es de origen chino debido a sus preferencias lingüísticas y a que utiliza Gh0st RAT, una herramienta muy popular entre los actores chinos. Este actor se centró inicialmente en usuarios de Uzbekistán y Corea del Sur, y desde entonces ha ampliado su ámbito de actuación para incluir varios países de la región EMEA y de Asia.
Los señuelos de SneakyChef
SneakyChef está utilizando señuelos que incluyen documentos escaneados de organismos públicos. Cisco Talos señala que estos documentos no parecen estar disponibles públicamente.
En el caso de las campañas dirigidas a países del sur de África, los documentos se hacían pasar por el Ministerio de Asuntos Exteriores de Angola. En el caso de las campañas dirigidas a países de Asia Central, los documentos se hacían pasar por el Ministerio de Asuntos Exteriores de Turkmenistán o Kazajistán.
Los mensajes fraudulentos dirigidos a países de Oriente Medio utilizaban documentos que simulaban referirse a un día festivo oficial. Además de los señuelos relacionados con el ámbito gubernamental, Cisco Talos también detectó un documento señuelo que consistía en una solicitud de inscripción a una conferencia y otro documento que era el resumen de una ponencia de investigación de otra conferencia internacional. Había otros alicientes relacionados con las invitaciones a la conferencia y los detalles de la misma.
Dominios C2 antiguos y nuevos
Como se ha señalado, Cisco Talos detectó inicialmente actividad de este actor en 2023 , aunque aún no se le había atribuido. El actor sigue utilizando un dominio C2 que ya se denunció hace varios meses. Asimismo, observaron que el malware SugarGh0st utilizó un nuevo dominio C2 entre marzo y April 2024.
Cadena de infección: En la última campaña de SneakyChef, el autor comenzó a utilizar una tercera cadena de infección que aprovecha SFX RAR para obtener acceso inicial. Cuando la víctima del ataque ejecute el archivo ejecutable, el script SFX descargará un documento señuelo, un cargador de DLL, la carga útil « SugarGh0st » cifrada y un script VB malicioso.
El script VB se ejecuta en primer lugar y establecerá la persistencia mediante una clave del Registro que se ejecutará al iniciar sesión. Cuando el usuario inicia sesión, se ejecuta un comando para ejecutar el archivo DLL de carga, update.dll. El cargador se encarga de leer la carga útil cifrada SugarGh0st , authz.lib. Lo descifrará y lo inyectará en un proceso.
SneakyChef, un actor malicioso del que no se tenía constancia hasta ahora, se ha relacionado con una campaña de ciberespionaje dirigida contra entidades gubernamentales. El actor utiliza documentos escaneados de organismos públicos como señuelos y se ha observado que emplea el malware SugarGh0st y SpiceRAT en sus campañas.
SneakyChef
Cisco Talos identificó por primera vez una campaña que utilizaba el RAT SugarGh0st a mediados de 2023. Desde entonces, han seguido observando campañas que utilizan el mismo malware, lo que les ha llevado a crear un nuevo perfil de actor denominado «SneakyChef». Se cree que este actor es de origen chino debido a sus preferencias lingüísticas y a que utiliza Gh0st RAT, una herramienta muy popular entre los actores chinos. Este actor se centró inicialmente en usuarios de Uzbekistán y Corea del Sur, y desde entonces ha ampliado su ámbito de actuación a varios países de la región EMEA y de Asia.
Señuelos
SneakyChef está utilizando señuelos que incluyen documentos escaneados de organismos públicos. Cisco Talos señala que estos documentos no parecen estar disponibles públicamente. En el caso de las campañas dirigidas a países del sur de África, los documentos utilizados se hacían pasar por el Ministerio de Asuntos Exteriores de Angola. En el caso de las campañas dirigidas a países de Asia Central, los documentos se hacían pasar, en cambio, por el Ministerio de Asuntos Exteriores de Turkmenistán o Kazajistán.
En cambio, los mensajes fraudulentos dirigidos a países de Oriente Medio utilizaban documentos que simulaban ser una circular sobre un día festivo oficial. Además de los señuelos relacionados con el ámbito gubernamental, Cisco Talos también detectó un documento señuelo que consistía en una solicitud de inscripción a una conferencia y otro documento que era el resumen de una ponencia de investigación de otra conferencia internacional. Había otros alicientes relacionados con las invitaciones a la conferencia y los detalles de la misma.
Dominios C2 antiguos y nuevos
Como se ha señalado, Cisco Talos detectó inicialmente actividad de este actor en 2023 , aunque aún no se le había atribuido. El actor sigue utilizando un dominio C2 del que ya se informó hace varios meses, y esto se ha observado hasta mediados deMay 2024. Asimismo, observaron que el malware SugarGh0st utilizó un nuevo dominio C2 entre marzo y April 2024.
La cadena de infección de SneakyChef
En la última campaña de SneakyChef, el actor utiliza una tercera cadena de infección que se aprovecha de SFX RAR para obtener acceso inicial. Cuando la víctima del ataque ejecute el archivo ejecutable, el script SFX descargará un documento señuelo, un cargador de DLL, la carga útil « SugarGh0st » cifrada y un script VB malicioso.
El script VB se ejecuta en primer lugar y establecerá la persistencia mediante una clave del Registro que se ejecutará al iniciar sesión. Cuando el usuario inicia sesión, se ejecuta un comando para ejecutar el archivo DLL de carga, update.dll. El cargador se encarga de leer la carga útil cifrada SugarGh0st , authz.lib. Lo descifrará y lo inyectará en un proceso.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este reportaje es un ejemplo de lo difícil que puede resultar la atribución. En este caso, no fue hasta casi un año después cuando los investigadores pudieron relacionar una serie de actividades con un actor y elaborar un perfil. Esto resulta especialmente interesante en el caso de los actores maliciosos chinos, cuyas tácticas, técnicas y procedimientos (TTP) suelen solaparse en tal medida que puede resultar difícil distinguirlos.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
