Esta semana, CTI da a conocer los detalles de una campaña de phishing que engañó a los empleados mediante un mensaje de Recursos Humanos que contenía una notificación falsa sobre una baja obligatoria. A continuación, CTI analiza la última versión de Zloader y sus actualizaciones más recientes. Por último, CTI ofrece los últimos datos sobre el actor estatal ruso conocido como «Secret Blizzard».
Los autores de las amenazas se hacen pasar por el departamento de RR. HH. en una campaña de phishing
Cofense (se abre en una nueva pestaña) ha interceptado recientemente un correo electrónico de phishing de (se abre en una nueva pestaña) que fingía proceder del departamento de recursos humanos de una organización. El correo electrónico, que contiene una notificación falsa sobre una baja obligatoria, intenta engañar a las víctimas para que hagan clic en un enlace malicioso que descarga el malware FormBook.
Detalles técnicos
- Según Cofense, 55 de los 72 proveedores de VirusTotal identificaron la muestra de malware como maliciosa. Estos proveedores indican que la muestra corresponde al inyector AutoIt o al malware FormBook.
- Una vez que la víctima hace clic en el enlace malicioso del correo electrónico, se descarga un archivo .zip en su directorio predeterminado de descargas. El archivo utiliza una doble extensión —
.xls.zip,— para engañar a la víctima y hacerle creer que se trata simplemente de una hoja de cálculo con información que debería abrir. - El archivo .zip contiene un ejecutable compilado en AutoIt. El ejemplo utiliza AutoIt como proceso principal para inyectar un script en el proceso de destino.
- En el caso analizado por Cofense, el proceso afectado fue
UtilMan.exe. A continuación, esto se utiliza para ejecutar el malware FormBook en memoria.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Como demuestra esta campaña, los autores de las amenazas suelen elegir los señuelos en función de lo que está ocurriendo en el mundo. Cofense se refiere a este ejemplo concreto como «relevancia estacional».
Este tipo de señuelo es habitual y tiene posibilidades de dar buenos resultados. Por ello, es importante mantenerse al día sobre las últimas técnicas de phishing para evitar errores que puedan resultar costosos.
Zloader incorpora nuevas funciones y capacidades
Investigadores de Zscaler (se abre en una nueva pestaña) han descubierto una nueva versión de Zloader con funciones adicionales. La última variante incluye nuevas capacidades para eludir el análisis, un shell interactivo y un túnel DNS para las comunicaciones C2 .
¿Qué es Zloader?
Zloader se creó inicialmente con el fin de cometer fraudes bancarios. Desde entonces, ha ido evolucionando hasta utilizarse para el acceso inicial.
El año pasado, el malware « » reapareció tras un paréntesis de dos años (se abre en una nueva pestaña) con nuevas funcionalidades. Desde entonces, Zscaler ha identificado una versión actualizada del malware, la versión 2.9.4.0, que cuenta con aún más funciones, entre ellas un nuevo protocolo de túnel DNS.
Vector de infección
Según Zscaler, la distribución de Zloader se está volviendo cada vez más específica y a pequeña escala, una tendencia cada vez más extendida entre los intermediarios de acceso inicial.
Los investigadores han observado que Zloader se distribuye a través de una cadena de infección que comienza con herramientas de supervisión y gestión remotas (RMM), como , AnyDesk (se abre en una nueva pestaña),, y Microsoft Quick Assist. Zscaler también detectó una carga útil adicional denominada GhostSocks durante el ataque.
Configuración de Zloader
Zscaler ha descubierto que la configuración estática del malware ha cambiado en esta versión y que ya no se cifra mediante una clave codificada de forma fija y en texto plano. En esta versión, la clave debe calcularse mediante una operación XOR.
Zscaler descifra la configuración y revela dos nuevas secciones relacionadas con la nueva función de túnel DNS.
Las capacidades de Zloader para eludir el análisis
Esta nueva versión de Zloader incorpora un par de funciones contra el análisis:
- La primera es una comprobación del entorno que se observa en numerosas muestras de malware.
- El segundo se refiere a la resolución de la API, que se ha actualizado en esta versión. El resultado de la resolución de la API se calcula ahora mediante una operación XOR.
Interpreter interactivo
Zscaler también ha identificado un nuevo shell interactivo que permite al autor de la amenaza ejecutar archivos binarios y código de shell, sustraer datos, interrumpir procesos y mucho más. Esto permite al autor de la amenaza realizar acciones directas mediante el teclado.
Comunicación en red
The malware still uses HTTPS with POST as its primary C2 communication method. El cambio más destacado en la comunicación C2 es la incorporación de una técnica de túnel DNS. El malware utiliza un protocolo personalizado basado en el DNS y el IPv4 para canalizar el tráfico TLS cifrado. Zloader puede crear y analizar paquetes DNS sin necesidad de recurrir a bibliotecas de terceros ni a la API de Windows.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Zloader ha evolucionado bastante desde que apareció en 2015 con fines de fraude bancario. La última versión pone de manifiesto un mayor énfasis en eludir la detección, lo que concuerda con lo observado en muchas otras familias de malware este año.
Las nuevas funciones convierten a Zloader en una opción ideal para los autores de amenazas que buscan un proveedor de acceso inicial. Tal y como señala Zscaler en estas últimas actualizaciones, «las organizaciones deben asegurarse de que inspeccionan no solo el tráfico web, sino también el tráfico de red basado en DNS».
Salen a la luz nuevos detalles sobre «Secret Blizzard»
Han salido a la luz nuevos detalles (se abre en una nueva pestaña) sobre el actor estatal ruso conocido como «Secret Blizzard».
Microsoft ha determinado recientemente (se abre en una nueva pestaña) que Secret Blizzard ha estado utilizando las herramientas y la infraestructura de al menos seis actores maliciosos. Además, Secret Blizzard tiene como objetivo la infraestructura que otros actores maliciosos están utilizando para almacenar datos sustraídos.
¿Qué es Secret Blizzard?
Se ha relacionado a «Secret Blizzard» con el Centro 16 « » del Servicio Federal de Seguridad de Rusia (FSB) (se abre en una nueva pestaña). Se sabe que este actor tiene como objetivo diversos sectores de todo el mundo, centrándose en obtener acceso a largo plazo a las actividades de espionaje. Se han observado campañas en las que el actor utiliza herramientas o infraestructuras comprometidas que pertenecen a otros actores maliciosos.
Actividades relacionadas con la vulneración y posteriores a la misma
Microsoft lleva observando a «Secret Blizzard» desde el November 2022 utilizando la infraestructura C2 de otro actor. El otro agente de espionaje es una entidad con sede en Pakistán identificada como Storm-0156.
Secret Blizzard ha estado utilizando Storm-0156’s puertas traseras para instalar sus propios programas maliciosos y desplegar sus herramientas en servidores privados virtuales (VPS) que sirven de base para la exfiltración de datos Storm-0156’s . Por el momento, se desconoce qué mecanismo de acceso inicial está utilizando Secret Blizzard para acceder a la infraestructura de Storm-0156’s .
Puertas traseras secretas de Blizzard
Secret Blizzard ha instalado varias puertas traseras diferentes en la infraestructura Storm-0156’s . Entre ellos se incluyen una variante de la puerta trasera TinyTurla, un descargador personalizado denominado TwoDash, un troyano personalizado denominado Statuezy y un descargador personalizado denominado MiniPocket.
En la campaña analizada por Microsoft, se observó que Storm-0156 utilizaba múltiples puertas traseras, incluidas variantes de Wainscot, para atacar sistemas Windows, Linux y CrimsonRAT.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Si bien la mayoría de los autores de amenazas tienen como objetivo a personas u organizaciones, Secret Blizzard se centra en la infraestructura y las herramientas de otros autores de amenazas. En esencia, el actor está intentando aprovecharse del trabajo que ya han realizado otros actores maliciosos y busca una forma sencilla de robar datos sin participar en la intrusión inicial.
Tal y como señala Microsoft, es posible que los datos de dicho actor no se ajusten a sus intereses de espionaje. Esto nos lleva a preguntarnos por qué el actor no opta por la vía del intermediario de acceso inicial (IAB).
Desde entonces, Microsoft ha publicado una segunda entrada en el blog « » ( ) (se abre en una nueva pestaña) () ( ) que merece la pena leer.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
