Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium investiga SantaStealer, un nuevo programa malicioso de robo de información de tipo «malware como servicio» que se ha lanzado recientemente y que ya se encuentra en circulación. A continuación, el equipo analiza BlackForce, un kit avanzado de phishing dirigido a las principales marcas. Por último, concluimos con una descripción general de Ink Dragon, un grupo de ciberespionaje vinculado a China.
SantaStealer se propaga a través de Telegram y foros clandestinos
Rapid7 ofrece información detallada sobre SantaStealer, un nuevo programa malicioso de tipo «malware como servicio» (MaaS) diseñado para robar credenciales, datos del navegador, carteras y otros datos mediante complementos modulares y técnicas residentes en memoria. Según Rapid7, SantaStealer ya está listo para su uso en producción y se está propagando en el entorno real.
Aunque se comercializa como un sistema de gran sigilo, Rapid7 considera que las muestras actuales presentan un bajo nivel de ofuscación y seguridad operativa, lo que hace que sean más fáciles de detectar a pesar de las ambiciosas afirmaciones.
Descubrimiento
Rapid7 descubrió inicialmente que el malware «SantaStealer» se anunciaba en foros clandestinos.
Los investigadores de Rapid7 analizaron un archivo ejecutable de Windows que activó una regla genérica de «infostealer». Su análisis reveló la existencia de una DLL que contaba con más de 500 símbolos exportados y numerosas cadenas de texto sin cifrar relacionadas con el robo de credenciales. Algunos de los símbolos de la DLL les llevaron a una cadena que contenía una configuración codificada en JSON. Esta configuración incluía un banner en el que se leía «SANTA STEALER», junto con un enlace al canal de Telegram correspondiente.
Yendo un paso más allá, Rapid7 analizó el canal de Telegram de SantaStealer. Los investigadores descubrieron el panel web de afiliados y crearon una cuenta para obtener más información sobre el malware. El panel web recoge una lista de funciones a las que pueden acceder los afiliados, en función de si disponen del plan básico o del plan premium.
Las muestras de SantaStealer analizadas por Rapid7 parecen diferir de muchas de las afirmaciones que anuncian los operadores. Esto llevó a los investigadores a pensar que es probable que el malware aún se encuentre en fase de desarrollo y que las primeras muestras pudieran haberse difundido por error.
Detalles técnicos
Rapid7 realizó un análisis técnico más detallado de una de las muestras ejecutables. Los investigadores descubrieron que el programa intenta ejecutar las versiones de la DLL, pero finalmente se encuentra con problemas.
Afirman que «detectar y rastrear estas cargas útiles resulta sencillo, ya que tanto la configuración del malware como la dirección IP del servidor C2 están incrustadas en el ejecutable en texto sin cifrar». Esto podría cambiar si se implementaran muchas de las funciones anunciadas para SantaStealer.
Para empezar, el malware comprobará los valores introducidos en , anti_cis, y , así como en exec_delay_seconds, , y reaccionará en consecuencia. A continuación, pasa a su función antivirtualización, que varía según las distintas muestras. Rapid7 descubrió que algunas muestras buscaban procesos y nombres de ordenadores incluidos en una lista negra, mientras que otras se limitaban a comprobar el número de procesos en ejecución, el tiempo de actividad del sistema y si existía VirtualBox.
En última instancia, la carga útil intenta sustraer credenciales del navegador. Rapid7 ofrece más detalles técnicos al respecto en ; consulte para obtener más información al respecto en su informe.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
SantaStealer constituye una amenaza MaaS de última generación con capacidades modulares y un nivel de sofisticación cada vez mayor. Sin embargo, su filtración prematura y su sencillez técnica ofrecen a los defensores oportunidades clave para su detección y análisis.
Este programa de robo de información se inscribe en varias tendencias generales que están definiendo actualmente el panorama de las amenazas, entre las que se incluyen el auge de los ecosistemas MaaS, que reducen las barreras de entrada, y el secuestro de credenciales y sesiones como vector de ataque principal.
Muchas ofertas de MaaS que comienzan con un nivel de seguridad operativa deficiente se refuerzan con el tiempo a medida que aumentan sus ingresos. Si SantaStealer sigue esta tendencia, es probable que evolucione y se vuelva más sofisticado.
El kit de phishing BlackForce tiene como objetivo a las principales marcas
Una publicación reciente de Zscaler, , arroja luz sobre BlackForce, un kit avanzado de phishing que ataca a grandes marcas utilizando páginas de inicio de sesión realistas y técnicas de «man-in-the-browser» para robar credenciales y eludir la autenticación multifactorial (MFA) de .
Según Zscaler, BlackForce emplea sólidas tácticas de evasión, la exfiltración de datos en tiempo real a través de Telegram y sigue evolucionando mediante técnicas de ofuscación y una lógica híbrida cliente-servidor.
Detección y análisis del código de BlackForce
Zscaler detectó un patrón concreto al investigar las campañas de phishing de . El patrón consistía en que «los dominios utilizaban sistemáticamente archivos JavaScript con hash para evitar el almacenamiento en caché en sus nombres».
Este patrón le permitió identificar el punto de entrada del kit de phishing BlackForce, que consistía en una sola línea del código HTML de la página que cargaba la plataforma. Zscaler descubrió que más del 99 % del contenido del archivo JavaScript malicioso contiene versiones de producción de React y React Router, lo que contribuyó a que el kit pareciera legítimo.
Cadena de ataque de BlackForce
Un ataque de BlackForce comienza cuando la víctima hace clic en el enlace de phishing y accede a la página de phishing del atacante. Se utiliza una lista de bloqueo de proveedores de servicios de Internet (ISP) y proveedores, gestionada por el servidor, para garantizar que el tráfico dirigido a la página no proceda de ningún investigador ni de ningún escáner. Una vez completada esta validación, se muestra a la víctima la página de phishing y se le solicita que introduzca sus credenciales.
En este momento, el atacante recibirá una alerta indicando que las credenciales se han enviado a su C2 y a su canal de Telegram. A continuación, el atacante intenta iniciar sesión utilizando las credenciales robadas.
En muchos casos, esto activa la autenticación multifactorial (MFA) y el atacante tendrá que enviar a la víctima una página de autenticación MFA falsa a través de BlackForce. Si la víctima cae en la trampa de esta página falsa e introduce el código de autenticación multifactorial (MFA), el atacante conseguirá acceder a la cuenta. Al final del ataque, se redirigirá a la víctima al sitio web legítimo.
Exfiltración
Zscaler ha determinado que BlackForce utiliza Axios para gestionar sus comunicaciones. Existen dos instancias de Axios del lado del cliente: la primera se utiliza para la comunicación C2 y la otra para la exfiltración de datos al canal de Telegram del atacante.
Anti-análisis
Al igual que muchos kits de phishing, BlackForce utiliza diversas técnicas para eludir el análisis. Zscaler lo detectó mediante un filtro proactivo del lado del cliente que impide que los entornos de pruebas y los bots accedan a la página de phishing.
La versión 4 va un paso más allá y aplica una política exclusiva para dispositivos móviles que rechazará todos los agentes de usuario de ordenador de sobremesa. El kit también incluye una lista de países autorizados para garantizar que solo las víctimas seleccionadas sean redirigidas a la página de phishing.
Estado
Las versiones posteriores de BlackForce se distinguieron de las anteriores por su transición de modelos de ataque sin estado a modelos con estado. En las versiones 4 y 5, el kit utiliza las propiedades « » y «sessionStorage» del navegador para crear una sesión con estado, lo que le permite recordar las credenciales a lo largo de todo el ataque.
C2 de comunicación
El panel C2 se utiliza para controlar las acciones que tienen lugar desde el momento en que la víctima accede a la página de phishing hasta el momento en que se produce el robo de datos. El panel cuenta con varias funciones, entre las que se incluyen las destinadas a identificar al visitante, sustraer los datos de las víctimas, gestionar el desarrollo de la sesión de phishing y gestionar el ataque.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El kit BlackForce pone de manifiesto cómo el phishing ha evolucionado hasta convertirse en un modelo de servicio altamente profesionalizado, que incluye versiones, actualizaciones de funciones y atención al cliente.
Este ejemplo también pone de manifiesto cómo los atacantes están contrarrestando activamente, en la actualidad, la detección automatizada y el análisis de los investigadores, lo que eleva el listón para la inteligencia sobre amenazas y las defensas automatizadas.
Ink Dragon lanza nuevos ataques
Check Point Research ofrece información sobre una nueva oleada de ataques llevados a cabo por Ink Dragon, un grupo de ciberespionaje vinculado a China que compromete servidores expuestos al público aprovechando vulnerabilidades de IIS y SharePoint, para luego desplazarse lateralmente con el fin de obtener credenciales y ampliar sus privilegios.
Se ha observado que Ink Dragon crea redes de retransmisión encubiertas en la infraestructura de las víctimas utilizando módulos ShadowPad personalizados, lo que le permite establecer un sistema de mando y control sigiloso y un acceso a largo plazo en múltiples entornos.
Acceso inicial
Según Check Point, el autor de la amenaza suele aprovechar la deserialización de ASP.NET utilizando claves de máquina que se han hecho públicas.
Asimismo, se ha observado que el actor ha aprovechado la vulnerabilidad de SharePoint ToolShell para obtener acceso inicial.
Movimiento lateral
Ink Dragon aprovecha dos ventajas clave tras comprometer un servidor web: el acceso a credenciales privilegiadas de IIS y la obtención de visibilidad sobre las sesiones administrativas activas.
Con las credenciales de IIS, el atacante puede pasar de la ejecución del proceso de trabajo de IIS al control total del sistema, establecer persistencia mediante túneles RDP o tareas programadas, y desplazarse lateralmente a otros servidores con un riesgo mínimo de ser detectado. Una vez dentro, instalarán implantes como ShadowPad o FinalDraft utilizando protocolos nativos (por ejemplo, SMB), camuflando los servicios bajo nombres legítimos para mantener el sigilo.
Perseverancia
Check Point observó dos patrones en lo que respecta a la persistencia, entre los que se incluyen el uso de tareas programadas con nombres que parecen inofensivos y la instalación de servicios en varios equipos para ejecutar los cargadores.
Escalada de privilegios
Ink Dragon utiliza una combinación de vulnerabilidades y robo de credenciales para desplazarse lateralmente hasta obtener el control total del dominio. Se ha observado que el actor amplía sus privilegios a nivel local, realiza volcados de LSASS y de ramas del Registro, y secuestra sesiones RDP de administrador inactivas para reutilizar los tokens.
Habilitación de la salida
Tal y como señala Check Point, Ink Dragon «modificó las reglas del cortafuegos de los equipos afectados para permitir un tráfico saliente de amplio alcance y, de hecho, convirtió los equipos comprometidos en nodos de exfiltración y proxy sin restricciones».
Creación de la red de relevos
Check Point ha descubierto que este actor malicioso está «convirtiendo activamente a las organizaciones afectadas en nodos de comunicación operativos dentro de una red distribuida de retransmisión de ShadowPad».
Ink Dragon utiliza un módulo ShadowPad IIS Listener personalizado para convertir los servidores comprometidos en centros de comunicación encubiertos dentro de una red de retransmisión distribuida. Mediante el registro dinámico de puntos finales HTTP(S) ocultos que se mimetizan con el tráfico normal de IIS, el implante intercepta las solicitudes, descifra las cargas útiles y retransmite comandos entre nodos externos e internos, creando de este modo una red en malla de múltiples saltos a partir de la infraestructura de la víctima que oculta el verdadero origen C2 , permite el pivote lateral y dificulta enormemente su detección.
Herramientas y fase posterior a la explotación
Según Check Point, Ink Dragon está utilizando diversas herramientas adicionales, entre las que se incluyen:
- ShadowPad Loader
- CBDLoader para la ejecución de cargas útiles residentes en memoria
- LalsDumper para la extracción de volcados de LSASS
- 032Loader como cargador de carga útil dependiente del host
- FinalDraft which is a long-term espionage and cloud C2
Victimología
Ink Dragon se centra principalmente en organizaciones gubernamentales , aunque también ha atacado a otros sectores.
Ink Dragon opera a escala mundial, centrándose en víctimas del sudeste asiático y África, y recientemente ha ampliado su actividad a Europa.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Ink Dragon es un actor malicioso altamente disciplinado y vinculado al Estado que no solo roba datos, sino que también se infiltra profundamente en los entornos empresariales utilizando técnicas sigilosas que imitan un comportamiento legítimo.
Al convertir los servidores de las víctimas en nodos de retransmisión encubiertos y hacer un uso indebido de las API de confianza en la nube, dificultan enormemente la detección y la contención, lo que significa que un único punto de acceso puede derivar en una vulneración a largo plazo que afecte a varias redes. Este actor ilustra a la perfección la convergencia entre la actividad tradicional de los grupos APT y las realidades empresariales actuales.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
