Esta semana, CTI destaca una campaña de ingeniería social que intenta saturar a los usuarios con correos electrónicos no deseados antes de hacerse pasar por el equipo de TI de la empresa. A continuación, CTI analiza el último estudio de caso de Palo Alto, en el que se detallan las aplicaciones de túneles DNS que han observado en entornos reales. Por último, CTI está investigando una campaña en curso que distribuye instaladores maliciosos para WinSCP y PuTTY a través de anuncios maliciosos.
1. Una campaña de ingeniería social en curso tiene como objetivo a las empresas
Una campaña de ingeniería social en curso de intenta saturar a los usuarios con numerosos correos electrónicos no deseados antes de hacerse pasar por el equipo de TI de la empresa y llamar al usuario para ofrecerle ayuda.
En , esta campaña, una llamada telefónica insta al usuario a descargar un software de supervisión y gestión remotas o a utilizar la función integrada «Quick Assist» de Microsoft para establecer una conexión remota con el dispositivo. A continuación, el actor malicioso descarga cargas maliciosas, recopila credenciales y establece la persistencia.
Aunque los ataques no implican el uso de ransomware, los indicadores de compromiso (IOC) de dichos ataques se han relacionado anteriormente con la operación de ransomware « » de Black Basta:.
Rapid7 ha detectado varios casos de esta campaña de ingeniería social desde finales de April 2024. Todos los ataques comienzan con un grupo de usuarios del entorno afectado que recibe una gran cantidad de correos electrónicos no deseados.
Rapid7 ha confirmado que el volumen de correo basura sería suficiente para «sobrecargar las soluciones de protección del correo electrónico existentes y llegar a la bandeja de entrada del usuario».
Los correos electrónicos
Los correos electrónicos en sí mismos no son intrínsecamente maliciosos. En realidad, se trata de correos electrónicos de confirmación de suscripción a boletines informativos enviados por numerosas organizaciones legítimas. Dado que el usuario recibe tantos correos electrónicos no deseados de este tipo, es probable que empiece a preocuparse o, al menos, a cuestionarse esta actividad.
Las llamadas telefónicas
Tras enviar una gran cantidad de correos electrónicos a los usuarios, el autor de la amenaza se pondrá en contacto con cada uno de ellos mediante una llamada telefónica, haciéndose pasar por un miembro de su equipo de TI.
El actor ofrecerá al usuario asistencia para resolver los «problemas» de correo electrónico que esté experimentando e intentará que el usuario le conceda acceso remoto a su dispositivo mediante herramientas de supervisión y gestión remotas (RMM), como AnyDesk.
En otros casos, el autor hizo un uso indebido de «Quick Assist», la herramienta integrada de asistencia remota de Windows. Si un usuario no caía en la trampa de ingeniería social, el atacante simplemente pasaba al siguiente usuario al que tenía como objetivo.
Acceso obtenido
Si el usuario cae en la trampa y el atacante consigue acceso remoto al dispositivo, comenzará por ejecutar una serie de scripts por lotes. Estos scripts se muestran al usuario como actualizaciones para que no parezcan sospechosos.
El primer script comprobará la conexión con el servidor C2 y descargará un archivo ZIP. Este archivo contiene una copia legítima de OpenSSH, cuyo nombre se ha cambiado a RuntimeBroker.exe, junto con sus dependencias, claves RSA y otros archivos de SSH.
El script establecerá la persistencia mediante entradas de clave de ejecución que apuntarán a scripts por lotes adicionales que se crean en tiempo de ejecución. Cada uno de estos scripts ejecutará SSH a través de PowerShell en un bucle infinito e intentará establecer un shell inverso con el C2.
En todos los casos observados por Rapid7, el script obtenía las credenciales de la víctima desde la línea de comandos a través de PowerShell. Las credenciales se recopilan cuando aparece un mensaje que se hace pasar por una «actualización» y en el que se solicita al usuario que introduzca sus credenciales para iniciar sesión y que la actualización pueda continuar. En un caso, tras la intrusión inicial, el atacante se desplazó lateralmente por el entorno a través de SMB.
Rapid7 no observó que el autor utilizara ransomware en ninguno de estos ataques. No obstante, los IOC identificados mediante análisis forense coinciden con los de la operación del ransomware Black Basta.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los investigadores observan cada vez con mayor frecuencia técnicas avanzadas de ingeniería social como las de esta campaña. Esto se debe principalmente a que son eficaces.
En este ataque, el autor de la amenaza hace creer al usuario que necesita asistencia técnica antes de hacerse pasar por el equipo de TI y ponerse en contacto con la víctima, creando, en esencia, su propio problema para que sea «resuelto».
Esta técnica difiere ligeramente del ataque MGM, pero logra el mismo objetivo y pone de manifiesto el grado de sofisticación que está alcanzando últimamente la ingeniería social. Es probable que este tipo de ataques se produzcan con mayor frecuencia a medida que los autores de amenazas sigan recurriendo a la IA generativa y a los modelos de lenguaje a gran escala (LLM) para fines como la creación de deepfakes.
2. Los piratas informáticos amplían el uso del túnel DNS
La Unidad 42 de Palo Alto ha publicado recientemente un estudio de caso sobre las aplicaciones del túnel DNS « » que han observado en entornos reales.
Estos actores maliciosos utilizan el túnel de DNS para rastrear cuándo su objetivo abre correos electrónicos de phishing de y hace clic en enlaces maliciosos, y también lo utilizan para buscar posibles vulnerabilidades.
These techniques expand beyond traditional DNS tunneling uses cases of C2 and VPN purposes.
¿Qué es el túnel DNS?
El túnel de DNS es una estrategia muy utilizada por los autores de amenazas para sustraer información. Los actores maliciosos suelen utilizar el túnel DNS para establecer comunicación con su C2, lo que les permite extraer e infiltrar datos. Los usuarios también suelen utilizar el túnel DNS con fines de VPN. Independientemente del objetivo, los atacantes suelen cifrar los datos mediante sus propios métodos, que mezclan dicho tráfico con el tráfico DNS legítimo.
La investigación de Palo Alto revela que los atacantes también están utilizando ahora túneles DNS para el rastreo y el escaneo.
Túneles DNS para el seguimiento
Los ciberdelincuentes están utilizando actualmente el túnel de DNS para rastrear las actividades de sus víctimas y detectar cuándo hacen clic en enlaces o anuncios maliciosos.
Para ello, un atacante insertaría información maliciosa sobre las acciones de la víctima en un subdominio específico de una consulta DNS. Este subdominio constituiría la carga útil del túnel y todas las consultas DNS se almacenan en un servidor de nombres controlado por el atacante.
- Campaña «TrkCdn»: Esta campaña tiene como objetivo realizar un seguimiento de la interacción de la víctima con un correo electrónico.
Palo Alto identificó a 731 posibles víctimas de esta campaña y 75 direcciones IP correspondientes a servidores de nombres que resuelven 658 dominios. Para realizar un seguimiento, los atacantes pueden consultar sus registros DNS y comparar la carga útil con el valor hash de la dirección de correo electrónico, con el fin de confirmar si una víctima concreta ha abierto un correo electrónico o ha hecho clic en un enlace incluido en él.
- Campaña «SpamTracker»: Otro ejemplo real de ello es una campaña denominada «SpamTracker», que utiliza el túnel DNS para realizar un seguimiento de la entrega de mensajes de spam.
Esta campaña se ha relacionado con 44 dominios de túnel que comparten todos la misma dirección IP para sus servidores de nombres. Los dominios comparten un método de denominación DGA y una codificación similares a los de otras campañas. Se cree que SpamTracker tiene su origen en Japón y utiliza correos electrónicos y enlaces a sitios web para distribuir spam y mensajes de phishing con señuelos como servicios de adivinación, notificaciones falsas sobre la entrega de paquetes, ofertas de trabajos secundarios y artículos gratuitos de por vida.
Túnel DNS para la realización de análisis
Los actores maliciosos también utilizan el túnel DNS para escanear una red, a menudo con direcciones IP de origen falsificadas, con el fin de descubrir servidores de resolución abiertos que puedan explotar. Esta actividad suele constituir la primera fase de un ataque.
- Campaña «SecShow»: Palo Alto identificó una campaña en la que el autor utilizaba túneles DNS para escanear la infraestructura de red de una organización, lo que solía ir seguido de ataques de reflexión.
El actor buscó servidores de resolución abiertos, comprobó los retrasos de dichos servidores y aprovechó cualquier vulnerabilidad detectada en ellos. Esta campaña se dirigió principalmente a los sectores de la educación, la tecnología y la administración pública.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los actores maliciosos suelen recurrir al túnel DNS principalmente por motivos relacionados con el C2 y las VPN.
El estudio de caso de Palo Alto revela que los autores de amenazas están ampliando ahora el uso de esta técnica para fines tales como el escaneo de redes y el seguimiento.
El aspecto del seguimiento resulta interesante y pone de manifiesto que algunos autores de amenazas se están tomando realmente el tiempo necesario para comprobar el alcance y el éxito de su campaña, en lugar de limitarse a lanzar campañas masivas y esperar que todo salga bien.
3. Una campaña de publicidad maliciosa da lugar a un ataque de ransomware
Una campaña actualmente en curso está distribuyendo instaladores maliciosos para WinSCP y PuTTY a través de anuncios maliciosos de :.
El malware permite al autor de la amenaza obtener un punto de acceso con privilegios elevados y pasar desapercibido entre las acciones administrativas legítimas. En al menos un caso, el ataque mediante publicidad maliciosa tuvo como resultado un intento de distribución de ransomware.
Resumen de la campaña de publicidad maliciosa
Esta campaña se inició a principios de March 2024 , cuando se identificaron Rapid7 actores maliciosos que distribuían instaladores maliciosos de WinSCP y PuTTy. Las víctimas son redirigidas a estos instaladores maliciosos tras buscar descargas de WinSCP o PuTTy a través de un motor de búsqueda y hacer clic en un anuncio malicioso. El anuncio malicioso redirigirá al usuario a una página web muy similar a la página de descargas legítima.
Estos sitios web falsos contienen un enlace para descargar un archivo ZIP que contiene un troyano procedente de un dominio secundario que se había incrustado en la página. Cuando el usuario descarga y descomprime este contenido, se inicia la infección. Como parte del ataque, se instala de forma no autorizada un archivo DLL malicioso.
Rapid7 señala que algunas de las prácticas y técnicas de ataque (TTP) de este ataque «recuerdan a campañas anteriores de BlackCat/ALPHV». En un caso, Rapid7 detectó que el actor intentaba extraer datos a través de Restic e intentar instalar un programa de chantaje. Este intento se ha bloqueado durante su ejecución.
Acceso inicial
La infección comienza cuando el usuario hace clic en el anuncio malicioso y descarga un instalador falso de WinSCP o PuTTy. La página de PuTTy, objeto de un «typosquatting», incluía una «t» de más en el dominio, lo que dificultaba que el usuario detectara la diferencia.
La página de destino de esta página creada mediante typosquatting es un enlace de descarga, junto con dos enlaces legítimos a otros recursos. Cuando la víctima descargue el instalador, este activará una función integrada y, en última instancia, redirigirá al usuario hacia el archivo ZIP malicioso más reciente para que lo descargue.
Ejecución
Una vez extraído el archivo ZIP, el usuario encontrará el archivo «setup.exe», que es una copia renombrada de «python.exe». Al ejecutarse, el archivo «setup.exe» instalará de forma no oficial una DLL maliciosa, « python311.dll», que a su vez cargará una copia renombrada de la DLL legítima, « python3.dll».
Una vez que se haya realizado correctamente la instalación paralela, el malware llevará a cabo una configuración previa a la descompresión y resolverá dinámicamente funciones adicionales. Utiliza una funcionalidad similar a la de la biblioteca AntiHook, de acceso público, para su configuración y ejecución.
El malware convertirá las funciones de la NTAPI (API nativa de Windows) para «eludir la detección aplicada a las funciones del modo de usuario más habituales (WINAPI) y acceder a funcionalidades de nivel inferior a las que, de otro modo, no se podría acceder». Una vez completada la instalación, el malware recupera un recurso cifrado de la DLL. El malware descifra este recurso en memoria, lo que da como resultado un archivo ZIP que contiene tres archivos comprimidos, entre los que se incluye un instalador MSI legítimo de PuTTY. El malware acaba descifrando un archivo que es una DLL de baliza de Sliver.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Ya sabemos que la publicidad maliciosa es muy habitual, pero este es uno de los pocos casos en los que un actor malicioso la ha utilizado para intentar instalar un programa de rescate.
Aunque el ataque con ransomware no tuvo éxito, existe la posibilidad de que este actor (u otros) vuelva a intentar este método. La combinación de publicidad maliciosa y ransomware resulta sin duda preocupante y difiere de la mayoría de los ataques de ransomware.
En el caso del ransomware, los autores de las amenazas suelen elegir víctimas concretas y cuentan con cierto grado de sofisticación técnica para obtener el acceso inicial. La inclusión de publicidad maliciosa para el acceso inicial hace que sean las víctimas quienes se acerquen al autor del ataque.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
