Esta semana, CTI analiza las campañas de correo electrónico que utilizan un conjunto de herramientas de «phishing como servicio» (PhaaS) denominado Rockstar 2FA. A continuación, CTI analiza « RevC2 » y «Venom Loader», dos nuevas familias de malware que se utilizaron en campañas entre agosto y October 2024. Por último, CTI analiza un ataque reciente en el que ha intervenido el conocido malware SmokeLoader.
Rockstar 2FA está dirigido a los usuarios de Microsoft 365
Trustwave advierte sobre campañas de correo electrónico que utilizan Rockstar 2FA, que es una versión actualizada del servicio de phishing DadSec/Phoenix.
La campaña aprovecha una técnica de «adversario en el medio» (AiTM) de tipo «» para sustraer credenciales y cookies, lo que hace que los sistemas protegidos mediante autenticación multifactorial (MFA) sean vulnerables a los ataques.
Resumen de la campaña
Los investigadores de Trustwave han estado siguiendo una amplia campaña de phishing que alcanzó su punto álgido en August 2024 y que sigue activa en la actualidad. La campaña aprovecha un ataque de tipo AiTM que permite al autor interceptar credenciales y cookies. Esta campaña se dirige a cuentas de usuario de Microsoft mediante páginas que imitan la pantalla de inicio de sesión de Microsoft 365 . Trustwave señala que esta campaña incluye páginas web relacionadas con el mundo del automóvil, lo que les ha llevado a identificar más de 5,000 dominios relacionados con este tema vinculados a la campaña.
Rockstar 2FA PhaaS
La campaña está relacionada con el kit de phishing «Rockstar 2FA ». Se observaron actividades de marketing y comunicación relacionadas con Rockstar 2FA en ICQ, Telegram y Mail[.]ru. El kit de phishing incluye funciones para eludir la autenticación multifactorial, la recopilación de cookies, protección contra bots, plantillas de inicio de sesión, código fuente y archivos adjuntos aleatorios, enlaces totalmente indetectables (FUD) y mucho más.
Campañas de correo electrónico
Los correos electrónicos de estas campañas se envían de varias formas diferentes, entre las que se incluyen cuentas comprometidas, herramientas de envío masivo de correo basura y el uso indebido de plataformas legítimas. El actor recurre a diversos temas y señuelos en los correos electrónicos, entre los que se incluyen notificaciones sobre el intercambio de documentos y archivos, mensajes relacionados con recursos humanos o nóminas, notificaciones del departamento de informática, alertas relacionadas con contraseñas y otros.
Trustwave observó que el autor utilizaba diversas técnicas para eludir los sistemas de detección de spam, como la ofuscación, los enlaces FUD y los códigos QR, entre otras. Los enlaces de los correos electrónicos conducen a una página de destino de phishing o a un sitio web dedicado al mundo del motor, en función de la respuesta del servidor AiTM. Los visitantes de la página reciben un desafío de Cloudflare Turnstile, que los atacantes suelen utilizar para eludir los análisis automatizados.
Página de phishing de AiTM
La página de phishing se muestra tras superar el desafío de Cloudflare Turnstile. Trustwave considera que existen mecanismos de control para determinar si se debe mostrar al usuario la página de phishing o la página de distracción relacionada con los coches.
La página de phishing recopilará los datos que introduzca el usuario y los enviará al servidor de AiTM. A continuación, estas credenciales pueden utilizarse para obtener la cookie de sesión.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Trustwave resume muy bien la gravedad de esta amenaza al afirmar que «los ataques de phishing comunes, como las campañas vinculadas a la plataforma PaaS Rockstar 2FA , siguen siendo frecuentes debido a su bajo coste y a la facilidad con que se llevan a cabo».
El autor de estas campañas está utilizando Rockstar 2FA , además de la técnica AiTM, lo que aumenta sus posibilidades de éxito y allana el camino para futuros ataques mediante credenciales sustraídas. De cara al futuro, el conjunto de herramientas Rockstar 2FA se irá actualizando y ampliando su ámbito de aplicación.
Los autores de amenazas distribuyen RevC2and ejemplares del malware «Venom Loader»
Zscaler ha identificado dos nuevas familias de malware, « RevC2 » y «Venom Loader», que se utilizaron en campañas entre agosto y October 2024.
Ambas familias de malware se distribuyeron a través de herramientas de «malware como servicio» (MaaS) de un actor conocido como Venom Spider. La familia de programas «Venom Loader» se adapta a cada víctima.
Campaña 1: La documentación de la API genera RevC2 resultados
La primera campaña tuvo lugar entre agosto y septiembre y utilizó como señuelo la documentación de una API para distribuir su carga maliciosa (RevC2). Se desconoce aún cómo se propaga, pero la primera fase del ataque comienza con un archivo denominado VenomLNK. Este archivo contiene un script por lotes que descargará un archivo de imagen que sirve como reclamo para la documentación de la API.
VenomLNK ejecutará un comando para activar la ejecución de RevC2. RevC2 solo ejecutará software malicioso si supera diversas comprobaciones que revelen que no se está ejecutando en un entorno de sandbox. RevC2 también utilizará WebSockets para la comunicación C2 . Este malware es capaz de realizar numerosas acciones, entre las que se incluyen el robo de contraseñas, la ejecución de comandos de shell, la realización de capturas de pantalla, el redireccionamiento del tráfico a través de un servidor proxy, el robo de cookies y la ejecución de comandos en nombre de otro usuario.
Campaña 2: Un señuelo relacionado con las criptomonedas da lugar a «Venom Loader»
La segunda campaña tuvo lugar entre septiembre y octubre y utilizó como señuelo una transacción de criptomonedas para distribuir Venom Loader. A su vez, Venom Loader cargará una puerta trasera de JavaScript denominada «More_eggs lite». Esto proporcionará al atacante la capacidad de ejecutar código de forma remota.
Al igual que en la primera campaña, se desconoce el método de distribución. No obstante, los investigadores han confirmado que la primera fase del ataque comienza con el archivo «VenomLNK», que contiene un script por lotes ofuscado y que descarga y muestra la imagen que sirve de señuelo criptográfico. El malware descarga un archivo ZIP, lo descomprime e instala de forma no oficial una DLL maliciosa que ejecutará Venom Loader.
La DLL se crea a medida para cada una de las víctimas, utilizando el nombre del ordenador de la víctima para codificar la carga útil. A continuación, se utiliza Venom Loader para cargar la puerta trasera «More_eggs lite», que enviará solicitudes HTTP POST de forma repetida al C2.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La familia de malware Venom Loader resulta especialmente interesante, ya que se personaliza para cada víctima, algo que no es muy habitual.
Es posible que veamos a más actores maliciosos utilizando estas dos familias de malware, teniendo en cuenta que se distribuyeron a través de las herramientas MaaS de Venom Spider, muy utilizadas entre grupos maliciosos de renombre. Tal y como señala Zscaler, también es probable que estas familias de malware evolucionen para incorporar funciones adicionales.
El malware SmokeLoader reaparece tras un periodo de declive
Unos investigadores han observado recientemente un ataque en el que se utilizó el conocido malware « » (SmokeLoader).
La actividad de SmokeLoader disminuyó considerablemente después de que Europol desmantelara la infraestructura de varias familias importantes de malware allá por el año May 2024, lo que hace que el resurgimiento de este malware resulte especialmente notable.
Resumen y secuencia del ataque
En septiembre, Fortinet detectó la campaña «SmokeLoader», dirigida contra empresas de Taiwán. Se produjeron ataques contra empresas de diversos sectores, entre ellos el sanitario, el manufacturero, el de las tecnologías de la información y otros.
El malware SmokeLoader es conocido por su versatilidad y sus técnicas de evasión. El malware actúa como un programa de descarga para distribuir malware adicional y, en este caso, descarga complementos desde su servidor C2 .
SmokeLoader y el phishing
El ataque comienza con un correo electrónico de phishing que contiene un archivo adjunto. El archivo adjunto se presenta como un presupuesto que incluye instrucciones especiales. Fortinet considera que estos correos electrónicos podrían ser copias procedentes de algún otro lugar, ya que el nombre del destinatario no se modifica al enviarlos a otras organizaciones. Además, la firma del correo electrónico presenta un tipo de letra, un color y un número de teléfono distintos a los del cuerpo del mensaje.
Aprovechamiento de vulnerabilidades
La cadena de ataque utilizará inicialmente diferentes vulnerabilidades, pero acabará siempre en AndeLoader. La primera vulnerabilidad que se ha observado es la CVE-2017-0199 , que es una vulnerabilidad de Microsoft Office que aprovecha un objeto de enlace OLE2-embedded . La otra vulnerabilidad, la CVE-2017-11882, es una vulnerabilidad de Microsoft Office que permite la ejecución remota de código.
AndeLoader
El actor acaba utilizando AndeLoader, independientemente de la vulnerabilidad que utilice. Este malware comienza con un archivo VBS repleto de código basura destinado a ocultar el verdadero código malicioso. Este código descargará un archivo JPG esteganográfico que contiene datos del inyector. El inyector es sencillo y no está encriptado. Establecerá la persistencia y llevará a cabo la inyección para SmokeLoader.
Los complementos de SmokeLoader
El servidor C2 del actor distribuye nueve complementos, entre los que se incluyen tres complementos independientes y tres que contienen versiones de 32 y 64 bits. Estos complementos permiten al actor sustraer credenciales de inicio de sesión, credenciales FTP, direcciones de correo electrónico, cookies y otros datos de diversos navegadores web, Outlook, Thunderbird, FileZilla y WinSCP.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
SmokeLoader siempre ha sido un programa avanzado y adaptable. Las observaciones de Fortinet demuestran aún más la sofisticación de este malware, sobre todo teniendo en cuenta que parte de su infraestructura (más de 1.000 dominios C2 ) ya había sido desmantelada anteriormente por las fuerzas del orden.
Dicho esto, esta campaña se basa en vulnerabilidades que ya tienen unos años, lo que hace que su nivel general de éxito sea cuestionable. Será interesante ver si SmokeLoader empieza a aprovechar vulnerabilidades más recientes a medida que pase el tiempo.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
