Esta semana, CTI aborda la batalla en curso entre Sophos y varios actores maliciosos chinos. A continuación, CTI investiga una nueva campaña denominada CRON#TRAP que comienza con un sencillo correo electrónico de phishing del tipo « » (en español: «¿Ha olvidado su contraseña?»): (se abre en una nueva pestaña). Por último, CTI concluye con una descripción general de una nueva campaña de phishing que busca obtener credenciales bancarias a través de Microsoft Bing.
Sophos se enfrenta a varios actores maliciosos chinos
Sophos ha dado a conocer recientemente (se abre en una nueva pestaña) los detalles de su lucha actual contra varios actores maliciosos chinos. Desde hace más de cinco años, los ciberdelincuentes han tenido en el punto de mira los dispositivos de red de todo el mundo, incluidos los de Sophos. La empresa atribuyó determinados grupos de actividad a determinados actores, entre los que se incluyen Volt Typhoon, APT31, y APT41.
La evolución de los comportamientos de los atacantes
Sophos ha identificado tres comportamientos principales de los atacantes que están en constante evolución:
- En primer lugar, se ha producido un cambio de enfoque: se ha pasado de los ataques generalizados y ruidosos, que eran de carácter oportunista en cuanto a sus objetivos, a ataques más sigilosos dirigidos contra objetivos específicos.
- La segunda observación se refiere a la evolución del camuflaje y la persistencia, con un mayor énfasis en el aprovechamiento de los recursos del propio sistema, las clases Java con puertas traseras y los troyanos que operan únicamente en memoria.
- La última observación se refiere a las mejoras en materia de seguridad operativa (OPSEC).
Intrusión inicial y reconocimiento
El primer ataque registrado, que tuvo lugar en el año 2018, no se dirigió contra un dispositivo de red, sino contra unas instalaciones de Sophos en la India. El ataque se valió de un rootkit complejo, denominado posteriormente « » Cloud Snooper, y de una técnica para acceder a la infraestructura en la nube a través de agentes SSM de AWS mal configurados.
En aquel momento, el ataque no se atribuyó a ningún actor concreto. En la actualidad, los investigadores consideran que este ataque fue una iniciativa china destinada a recabar información para facilitar futuros ataques y crear malware dirigido a dispositivos de red.
Pasar al modo sigiloso
En 2022, los actores cambiaron de estrategia para actuar de forma más selectiva y centrarse en sectores concretos. Los ataques utilizaron diversas tácticas, técnicas y procedimientos (TTP), y se caracterizaron por un enfoque más activo por parte del adversario, en lugar de recurrir a la automatización, lo que implicó la ejecución manual de comandos y de malware. En todos estos ataques se utilizaron técnicas de persistencia encubiertas y la explotación de vulnerabilidades CVE.
Mejoras en materia de seguridad operativa (OPSEC)
Estos actores se han vuelto cada vez más hábiles a la hora de ocultar sus actividades, bloqueando el envío de datos desde los dispositivos a Sophos. A partir de la versión 2020, los atacantes intentaron sabotear el mecanismo de correcciones de seguridad de los dispositivos comprometidos y, posteriormente, comenzaron a atacar el sistema de telemetría de dichos dispositivos. En general, las prácticas de seguridad operativa mejoraron con el paso del tiempo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los actores maliciosos respaldados por el Estado chino constituyen desde hace tiempo una amenaza, sobre todo porque suelen compartir herramientas y técnicas entre ellos. Sophos explica que estos actores «cuentan con amplios recursos, son pacientes, creativos y poseen un conocimiento excepcional de la arquitectura interna del firmware del dispositivo».
Es probable que los dispositivos de red periféricos sigan siendo objetivos de gran valor para los actores maliciosos.
CRON#TRAP infecta Windows mediante una máquina virtual de Linux
En una campaña denominada « » (CRON#TRAP), un actor malicioso utiliza correos electrónicos de phishing para implementar un entorno Linux personalizado que emula el emulador rápido (QEMU).
Según Securonix, un archivo LNK incluido en el correo electrónico de phishing iniciará el entorno Linux que emula QEMU. La instancia de Linux utilizada en el ataque incluye una puerta trasera preconfigurada para conectarse automáticamente al servidor C2 del autor del ataque.
Infección inicial
Aunque no está confirmado, Securonix cree que el ataque comenzó con un correo electrónico de phishing que contenía un enlace para descargar un archivo .zip. El propio archivo .zip tenía como tema una encuesta y un tamaño considerable: 285MB,
. Una vez que la víctima extrae el archivo, se le muestra un acceso directo y un directorio denominado «data» que contiene el directorio de instalación de QEMU. El archivo de acceso directo se vincula a PowerShell y ejecuta un comando para descomprimir el archivo descargado y ejecutar un archivo por lotes. Este archivo por lotes muestra al usuario un error de servidor falso mientras se ejecuta el proceso de QEMU para iniciar el entorno Linux.
Documento de Lure/QEMU
Un error falso del servidor se presenta a la víctima como un señuelo convincente. Aunque se ha cambiado el nombre del proceso QEMU, este es legítimo y está firmado digitalmente con un certificado válido.
PivotBox: el entorno Linux del atacante
Securonix pudo interactuar con el sistema operativo porque tenía activado el inicio de sesión automático. La barra de mensajes muestra «PivotBox» y un comando «opciones». Este comando de opciones muestra dos comandos para interactuar con el servidor.
Por defecto, Linux almacena un registro de todos los comandos ejecutados en el directorio de perfil del usuario. Los investigadores pudieron localizar un registro de los comandos que se utilizaron, lo que significa que este actor carecía de ciertas medidas básicas de seguridad operativa y no borró el historial.
En el informe de Securonix se puede consultar una lista completa de los comandos. A grandes rasgos, se emitieron órdenes para instalar herramientas, manipular y ejecutar cargas útiles, establecer persistencia, sustraer datos y otras acciones.
Cincel
Un archivo binario se ejecuta al iniciarse la instancia de QEMU en Linux. Los investigadores determinaron que este archivo binario es un «cliente Chisel preconfigurado, diseñado para conectarse a un servidor C2 remoto a través de WebSockets».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña pasó rápidamente de ser un simple correo electrónico de phishing a convertirse en un entorno Linux emulado. No es la primera vez que un actor malintencionado hace un uso indebido de QEMU, pero sí parece ser una de las primeras ocasiones en las que se ha utilizado con fines ajenos a la minería de criptomonedas.
El hecho de que la campaña probablemente comience con un ataque de phishing puede permitir a los defensores y a los usuarios finales identificar la amenaza antes de que vaya demasiado lejos.
Los autores de amenazas utilizan Bing para llevar a cabo ataques de phishing
Malwarebytes ha identificado recientemente , una nueva campaña de phishing que tiene como objetivo obtener credenciales bancarias. La campaña se dirige a las víctimas mediante publicidad maliciosa, concretamente en el motor de búsqueda Bing de Microsoft.
Las páginas de phishing aparecen en la primera página de resultados y, en algunos casos, como los primeros resultados de la búsqueda.
Malwarebytes identificó la campaña de phishing en November 29. Si un usuario busca «inicio de sesión en KeyBank» en Bing, el primer resultado es un enlace malicioso que se hace pasar por la página legítima de inicio de sesión de KeyBank. El dominio se registró aproximadamente dos semanas antes.
Indexación y enmascaramiento
Los rastreadores y escáneres web que acceden al enlace malicioso son redirigidos a un sitio destinado a usuarios en los que el autor de la amenaza no está interesado. Estos rastreadores y escáneres recopilan e indexan el contenido de dicha página y la identifican como una página segura. Sin embargo, las víctimas son redirigidas inmediatamente al verdadero sitio malicioso en función de los atributos del usuario, incluida la dirección IP.
El verdadero sitio de phishing utiliza la imagen de marca legítima de KeyBank e imita fielmente la página de inicio de sesión auténtica. Al rellenar el formulario de esta página web, los datos se envían inmediatamente al autor de la amenaza.
Cómo eludir la autenticación de dos factores (MFA)
Muchas campañas de phishing intentan eludir la autenticación multifactorial (MFA) de . En esta campaña, la página de phishing muestra a la víctima un mensaje en el que se le indica que su conexión a Internet es deficiente. Este mensaje es una distracción para ocultar lo que realmente está sucediendo.
Entre bastidores, el autor del ataque inicia sesión en la cuenta de la víctima y se le solicita un código de autenticación multifactorial (MFA). En otra pantalla, se solicita a la víctima que introduzca el código de acceso de un solo uso, que se envía inmediatamente al autor de la amenaza.
Yendo un paso más allá, esta campaña de phishing también solicita a la víctima que introduzca o responda a sus preguntas de seguridad. El autor de la amenaza puede seguir haciendo un uso indebido de esta información.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Aunque esta campaña se centra específicamente en Bing, actualmente se están llevando a cabo estafas de phishing similares en la mayoría de los motores de búsqueda.
Un aspecto que destaca Malwarebytes es la rapidez con la que un sitio web malicioso puede situarse en los primeros puestos de los resultados de búsqueda. En este caso, solo hicieron falta dos semanas para que apareciera antes que la página web oficial del banco.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas en .
