Esta semana, CTI analiza una nueva alianza entre el grupo de ciberdelincuentes Scattered Spider y RansomHub , una operación de ransomware como servicio (RaaS) (se abre en una nueva pestaña). A continuación, CTI analiza cómo están evolucionando los programas de robo de información para eludir el cifrado integrado en las aplicaciones de Google en Chrome. Por último, CTI explica cómo el actor malicioso «Evasive Panda» utiliza un conjunto de herramientas posteriores a la intrusión, hasta ahora no documentado, denominado «CloudScout», en sus ataques de robo de cookies.
Scattered Spider se asocia con RansomHub
Un incidente reciente de ciberseguridad revela que el grupo de ciberdelincuentes Scattered Spider colabora ahora con RansomHub en sus ataques.
Según ReliaQuest (se abre en una nueva pestaña), el actor alcanzó la fase de cifrado en un plazo de seis horas tras obtener acceso inicial a dos cuentas de empleados mediante ingeniería social (se abre en una nueva pestaña) dirigida contra el servicio de asistencia técnica de la organización objetivo.
¿Qué es «Scattered Spider»?
El grupo de ciberamenazas «Scattered Spider» lleva activo, como mínimo, desde el año May 2022. Los investigadores consideran que el grupo cuenta actualmente con unos 1,000 autores de amenazas de habla inglesa.
Desde su creación, los miembros del grupo han seguido perfeccionando sus habilidades en ingeniería social y combinándolas con variantes de ransomware vinculadas a Rusia para llevar a cabo ataques.
Este grupo formaba parte anteriormente de la operación de ransomware BlackCat, antes de que dicha operación se disolviera. El grupo «Scattered Spider» está utilizando ahora el ransomware RansomHub en sus ataques.
Análisis de ataques
ReliaQuest observó varios comportamientos interesantes durante este incidente, entre los que se incluyen:
- El actor hizo gala de una ingeniería social persistente. Se obtuvo el acceso inicial mediante técnicas de ingeniería social dirigidas a miembros del servicio de asistencia técnica, lo que permitió comprometer con éxito la cuenta del director financiero. Tras darse cuenta de que esta cuenta no disponía de los permisos necesarios para llevar a cabo el resto del ataque, el autor volvió al servicio de asistencia técnica y utilizó la misma táctica de ingeniería social para comprometer una cuenta de administrador de dominio.
- Otros comportamientos destacados fueron el uso indebido de la infraestructura de telecomunicaciones, la creación de una máquina virtual en el entorno ESXi para el desplazamiento lateral y la demostración de un rápido tiempo de impacto. El actor logró acceder a la cuenta del director financiero y a la cuenta de administrador del dominio en menos de una hora tras llamar al servicio de asistencia técnica.
Un análisis detallado de la táctica de ingeniería social de Scattered Spider
El autor del ataque llamó al servicio de asistencia informática de la organización y les convenció para que restablecieran la contraseña de una cuenta perteneciente al director financiero de la empresa. Posteriormente, llamaron al servicio de asistencia técnica, se pusieron en contacto con otro empleado y le convencieron para que restableciera los controles de autenticación multifactorial (MFA) de (se abre en una nueva pestaña) en la cuenta del director financiero, lo que permitió al atacante registrar su propio dispositivo para la autenticación multifactorial.
Tras darse cuenta de que la cuenta carecía de los permisos necesarios para llevar a cabo un ataque con éxito, realizaron una búsqueda en el sitio de SharePoint de la organización para identificar una cuenta de administrador de dominio que les proporcionara lo que necesitaban. Con este objetivo en mente, el actor volvió a llamar al servicio de asistencia técnica y solicitó que se restableciera la contraseña de esa cuenta de administrador de dominio, que contaba con privilegios de superadministrador de Okta.
Solicitar un rescate a través de Microsoft Teams
El autor llevó a cabo un ataque de doble extorsión mediante el cifrado del entorno ESXi, la sustracción de datos, el ataque a las soluciones de copia de seguridad, el cifrado de las copias de seguridad locales, la eliminación de las copias de seguridad en la nube y, por último, , exigiendo un rescate (se abre en una nueva pestaña). El actor logró extraer varios gigabytes de datos a través de Mega Cloud.
La nota de rescate también difería de los ataques tradicionales de ransomware de tipo « » (se abre en una nueva pestaña). En este caso, el autor de la amenaza envió un mensaje de Microsoft Teams desde una cuenta de administrador de dominio que había sido comprometida previamente. Este mensaje incluía un enlace a la nota de rescate. El actor también envió un correo electrónico desde la misma cuenta con el asunto: «Actualización urgente sobre el ciberataque».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña de «Scattered Spider» cuenta con numerosos elementos interesantes. En primer lugar, está claro que este actor se mueve rápido y cada vez lo hace con mayor rapidez. Sus tácticas de ingeniería social también parecen insignificantes, pero resultan increíblemente eficaces.
Es más, la nota de rescate de este ejemplo no se entregó en forma de archivo README tradicional. En su lugar, el actor transmitió el mensaje a través de Teams y por correo electrónico.
ReliaQuest también señala que los actores maliciosos de habla rusa e inglesa están colaborando actualmente, tal y como pone de manifiesto esta última alianza. Históricamente, estos dos grupos no han colaborado con frecuencia.
Scattered Spider y RansomHub no son amenazas que deban tomarse a la ligera, sobre todo cuando actúan conjuntamente.
Los programas de robo de información eluden las defensas de Chrome, a pesar de las actualizaciones
A principios de este año, Google introdujo el cifrado vinculado a las aplicaciones en su navegador Chrome para mejorar la protección de las cookies frente al malware. Esta medida se introdujo principalmente como respuesta al aumento del malware de robo de información centrado en el robo de cookies.
Desde entonces, Elastic Security Labs (se abre en una nueva pestaña) ha investigado cómo ha afectado esto al panorama de amenazas, identificando programas de robo de información con código nuevo para eludir esta protección y seguir siendo competitivos.
Antecedentes y cronología
Los investigadores han identificado varias técnicas utilizadas por una serie de programas maliciosos para eludir la función de cifrado integrada en las aplicaciones de Google, entre los que se incluyen Stealc/Vidar, MetaStealer, Phemedrone, XenoStealer y Lumma.
Algunos de estos métodos incluyen la depuración remota a través de DevTools, la lectura de la memoria del proceso del servicio de red de Chrome y la elevación de privilegios a SYSTEM , para a continuación descifrar la clave app_bound_encryption_key.
Veamos una cronología de estos tipos de malware y cómo funcionan:
- Stealc/Vidar: Elastic detectó a finales de septiembre nuevo código en el malware de robo de información Stealc relacionado específicamente con esta técnica de elusión de cookies, tan solo unos meses después de el anuncio de Google (se abre en una nueva pestaña). Estas muestras diferían de las muestras anteriores de Stealc que incluían comprobaciones condicionales.
Un binario incrustado creará un escritorio oculto, analizará y eliminará todos los procesos de «chrome.exe», y creará un nuevo proceso de «chrome.exe» en el nuevo escritorio. El malware seleccionará el patrón de firma adecuado para la función de Chromium denominada «CookieMonster». El malware es, en última instancia, el responsable de extraer valores de cookies sin cifrar en uno de los procesos secundarios de Chrome. - Metastealer: Se ha observado que este malware de robo de información ha actualizado su código para sustraer datos de Chrome, incluso tras las nuevas medidas de mitigación adoptadas por Google. En September 30, el autor de Metastealer anunció en Telegram que había mejorado su capacidad para robar cookies, incluso con los últimos cambios introducidos por Chrome.
- Phemedrone: Este programa de robo de datos de código abierto recibió mucha atención mediática por aprovechar la vulnerabilidad de Windows SmartScreen hace poco (se abre en una nueva pestaña).
Una nueva versión del malware enviada en septiembre parece incluir una nueva función de captura de cookies diseñada específicamente para Chrome. - Xenostealer: . Se trata de otro programa malicioso de código abierto dedicado al robo de datos, que aún se encuentra en fase de desarrollo activo. Elastic señala que la función de omisión de Chrome se introdujo en September 26.
- Lumma: A mediados de octubre, una nueva versión de Lumma incorporó métodos adicionales para eludir las nuevas funciones de protección contra cookies de Chrome.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este es un ejemplo paradigmático del ciclo interminable entre los autores de amenazas y los defensores: los autores de amenazas descubren formas de eludir los controles y las funciones; los defensores y los proveedores crean nuevas funciones para impedir dicha actividad; y, a su vez, los autores de amenazas desarrollan nuevas estrategias de elusión como respuesta.
Elastic ha identificado varias familias de malware que están desarrollando activamente formas de eludir el cifrado vinculado a las aplicaciones de Chrome. Es muy probable que, en breve, otras familias de malware demuestren capacidades similares.
Evasive Panda utiliza CloudScout en sus últimos ataques mediante cookies
Según ESET (se abre en una nueva pestaña), el actor de amenazas persistentes avanzadas (APT) conocido como Evasive Panda está utilizando ahora en sus ataques un conjunto de herramientas posteriores a la intrusión, hasta ahora no documentado, denominado CloudScout.
El conjunto de herramientas CloudScout recupera datos de (se abre en una nueva pestaña),y a partir de diversos servicios en la nube con la ayuda de cookies de sesión web sustraídas, y se integra con el marco de malware característico del autor del ataque, MgBot.
Acerca de Evasive Panda
Evasive Panda lleva en activo desde, al menos, el año 2012, dedicándose principalmente a campañas de ciberespionaje.
Al inicio de 2023 (se abre en una nueva pestaña), el actor utilizó tres módulos .NET hasta entonces desconocidos, diseñados para acceder a servicios en la nube pública mediante el secuestro de sesiones web autenticadas. La técnica consiste en sustraer cookies de la base de datos de un navegador y utilizarlas de una forma determinada para obtener acceso a los servicios en la nube.
Análisis técnico
CloudScout es un marco de trabajo de .NET para malware compuesto por varios módulos dirigidos a distintos servicios en la nube.
Hasta la fecha, ESET ha identificado siete módulos de CloudScout, aunque estos siete aún no se han detectado en equipos comprometidos. CloudScout tiene un copyright del año 2020 , lo que indica que podría haberse desarrollado por esas fechas.
ESET identificó una clave de cifrado común « RC4 » en tres de los módulos que analizó. A partir de ello, determinaron que uno de los módulos, el CGM, había sido implementado mediante un complemento de MgBot utilizado por Evasive Panda.
Paquete CommonUtilities
El núcleo de CloudScout es un paquete denominado CommonUtilities. Este paquete incluye las bibliotecas de bajo nivel necesarias para que cada módulo funcione. El paquete se almacena en la sección de recursos de los módulos y se carga durante la función «ModuleStart».
CommonUtilities incluye numerosas bibliotecas creadas a medida, a pesar de que existen muchas opciones similares de código abierto. Estas bibliotecas ofrecen a los desarrolladores de malware una mayor flexibilidad y control sobre el funcionamiento interno de su implante, a diferencia de otras alternativas de código abierto.
Autenticación y recuperación de datos
Las plataformas web no siempre documentan adecuadamente las cookies. CloudScout puede sustraer las cookies de Google Drive, Gmail y Outlook si la sesión sigue siendo válida. Tras la autenticación, la herramienta explorará los servicios comprometidos con la ayuda de sus módulos, que contienen diferentes solicitudes web codificadas de forma fija.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Evasive Panda es un actor sofisticado y lo ha sido desde hace tiempo. Aunque el conjunto de herramientas de CloudScout parece complejo y podría tener un gran impacto, cabe señalar que, desde entonces, Google ha incorporado en Chrome funciones de protección para ayudar a defenderse contra el malware dedicado al robo de cookies, al igual que CloudScout.
Tal y como señala ESET, esto podría hacer que la herramienta quedara obsoleta. Sin embargo, al igual que ocurre con todo lo demás, si los actores ven que algo les resulta valioso, seguirán buscando formas de eludir estas medidas.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
