En el resumen de esta semana, CTI explica cómo la operación de ransomware «TargetCompany» está amenazando a los servidores ESXi con una nueva variante para Linux. A continuación, CTI investiga a un actor de espionaje hasta ahora no documentado, al que ahora se conoce como LilacSquid y que se relaciona con varios ataques perpetrados en Estados Unidos, Europa y Asia. Por último, CTI analiza cómo los autores de amenazas de DarkGate están empezando a abandonar los scripts de AutoIt y a recurrir a AutoHotkey para ejecutar la carga útil final.
1. La variante de Linux de TargetCompany supone una amenaza para los entornos ESXi con nuevos métodos
La operación de ransomware «TargetCompany» está atacando ahora servidores ESXi con una nueva variante para Linux de « » (se abre en una nueva pestaña).
La última variante utiliza un script de shell personalizado para distribuir y ejecutar cargas útiles, y exfiltra datos a dos servidores distintos controlados por los atacantes con fines de copia de seguridad.
¿Qué es TargetCompany?
El grupo de ransomware TargetCompany se descubrió por primera vez en 2021 y mantiene un sitio web dedicado a la filtración de datos bajo el nombre de «Mallox».
Al igual que muchas operaciones de ransomware, TargetCompany ha seguido perfeccionando sus tácticas, técnicas y procedimientos (TTP), incorporando elementos como scripts de PowerShell para eludir la Interfaz de Análisis Antimalware (AMSI) y haciendo uso indebido de empaquetadores ofuscadores totalmente indetectables (FUD).
Trend Micro descubrió la variante para Linux de esta operación durante una misión de detección proactiva de amenazas.
La variante de Linux de TargetCompany
La variante para Linux comprobará si el ejecutable dispone de derechos de administrador. Solo se ejecutará si dispone de acceso de administrador.
Una vez ejecutado, creará un archivo que contiene información sobre la víctima, denominado «TargetInfo.txt». El contenido de este archivo también se envía a un servidor C2 como un archivo denominado «ap.php». Este comportamiento es similar al de la variante para Windows de TargetCompany.
Dirigido a entornos ESXi
TargetCompany se está centrando ahora en los servidores de virtualización con el fin de causar más daños y trastornos.
Esta variante permite determinar si una máquina se está ejecutando en un entorno VMware ESXi. Si el sistema se ejecuta en el hipervisor ESXi de VMware, se cifrarán los archivos con las siguientes extensiones: vmdk, vmem, vswp, vmsn, vmx y nvram. Esta variante actualizará los archivos cifrados añadiéndoles la extensión «.locked» y dejará una nota de rescate.
Ejecución de scripts de Shell
La investigación de Trend Micro (se abre en una nueva pestaña) sobre la carga útil reveló que se utiliza un script de shell tanto para descargar como para ejecutar la carga útil del ransomware. El script se ha creado a medida específicamente para ejecutar esta variante. Este script también es capaz de extraer datos y enviarlos a un servidor.
Como se ha señalado, esta variante envía los datos sustraídos a dos servidores distintos, lo que, según los investigadores, tiene fines de redundancia. A continuación, el script eliminará la carga útil de TargetCompany.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
TargetCompany parece estar dirigiéndose a entornos Linux de , (se abre en una nueva pestaña),y para ampliar su base de clientes potenciales. Al mismo tiempo, TargetCompany está extrayendo datos hacia dos servidores distintos para aumentar sus posibilidades de éxito; lo más probable es que se trate de disponer de un servidor de respaldo en caso de que uno de ellos resulte comprometido o deje de estar disponible. Esto podría deberse al aumento del número de operaciones de desmantelamiento llevadas a cabo por las fuerzas del orden en los últimos meses.
2. LilacSquid se dirige a múltiples sectores
Un actor de espionaje hasta ahora no documentado, al que ahora se le identifica como « » LilacSquid (se abre en una nueva pestaña), está siendo relacionado con varios ataques en Estados Unidos, Europa y Asia.
La campaña « » de LilacSquid, (se abre en una nueva pestaña),, , tiene como objetivo establecer un acceso a largo plazo con el fin de sustraer datos de interés. Los ataques utilizan una herramienta de gestión remota de código abierto junto con una versión personalizada de QuasarRAT tras comprometer servidores de aplicaciones vulnerables o utilizar credenciales RDP comprometidas.
¿Qué es LilacSquid?
Se cree que este actor malicioso, especializado en espionaje, lleva en activo al menos desde el año 2021 y suele actuar a largo plazo, estableciendo un acceso duradero para el robo de datos.
- Cisco Talos ha informado de al menos tres ataques exitosos perpetrados por este actor malicioso.
- Para obtener acceso inicial, este actor aprovechará vulnerabilidades o utilizará credenciales de RDP comprometidas.
- Una vez obtenido el acceso, el autor utilizará una aplicación de gestión remota de código abierto, MeshAgent, y una variante personalizada de QuasarRAT conocida como PurpleInk.
Las cadenas de infección de LilacSquid
La primera cadena de infección de LilacSquid comienza con la explotación de una aplicación web vulnerable, mientras que la segunda se inicia mediante el uso de credenciales RDP comprometidas.
En ambos casos, si se logra el acceso, se llevarán a cabo herramientas de doble uso como MeshAgent, SSF, InkLoader y PurpleInk, que es una versión muy personalizada de QuasarRAT. PurpleInk se encuentra en fase de desarrollo activo desde el año 2021 y ha seguido evolucionando hasta convertirse en un malware propio. El malware está ofuscado y cuenta con numerosas capacidades propias de un RAT, entre las que se incluyen la capacidad de enumerar procesos y enviar datos al C2, finalizar un proceso, ejecutar una nueva aplicación, obtener información sobre unidades de disco, enumerar un directorio determinado, leer un archivo especificado por un C2 y, a continuación, extraer su contenido, así como sustituir o añadir contenido a un archivo especificado.
El malware también dispone de varias formas de comunicarse con sus servidores proxy, como conectarse a un nuevo servidor, enviar datos a un servidor proxy nuevo o ya existente, desconectarse y recibir datos de otro servidor proxy conectado y procesarlos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El uso que hace LilacSquid de MeshAgent coincide con el de otro actor malicioso norcoreano denominado Andariel, que es un subgrupo del Grupo Lazarus. Es cierto que otras coincidencias en las TTP con este grupo llaman la atención, pero aún no se ha establecido una conexión definitiva. No obstante, el Grupo Lazarus ya ha llevado a cabo anteriormente ataques a gran escala contra la cadena de suministro de (se abre en una nueva pestaña) , como el 3CX , que fueron posibles gracias a su acceso no autorizado a largo plazo.
Dicho esto, el objetivo de LilacSquid de mantener el acceso a largo plazo podría ir más allá de las actividades de espionaje y «abrir nuevas vías para comprometer la cadena de suministro».
3. El malware DarkGate sustituye AutoIt por AutoHotkey en sus últimos ataques
Según Trellix (se abre en una nueva pestaña), los ataques que utilizan el malware DarkGate (se abre en una nueva pestaña) están empezando a abandonar los scripts de AutoIt y a recurrir al kit de herramientas de AutoHotkey para ejecutar la carga útil final.
Un análisis más detallado de las campañas que utilizan esta nueva técnica también reveló la existencia de algunos servidores que contenían muestras tanto de DarkGate como de PikaBot, lo que indica que el autor podría estar utilizando uno de ellos como respaldo del otro.
Al desarrollador del MaaS DarkGate, RastaFarEye, se le prohibió el acceso a varios foros clandestinos a finales del año 2023 debido a varias quejas sobre sus servicios. A pesar de ello, el malware DarkGate ha seguido distribuyéndose y detectándose en el entorno real. Se cree que RastaFarEye ha adoptado otros nombres comerciales para seguir comercializando su gama de productos junto con otros nuevos.
La cadena de ejecución de DarkGate
Las campañas de DarkGate cambian con frecuencia para adaptarse a la evolución del panorama de amenazas. Por ejemplo, este malware ha utilizado anteriormente la técnica « AutoIt3 » o la carga lateral de archivos DLL para desplegar la carga útil final. En campañas más recientes, el malware está utilizando AutoHotkey, un intérprete de scripts, para ejecutarse en tres fases:
- La primera fase del ataque varía en función de cada campaña. En las últimas campañas, , el actor utiliza correos electrónicos de phishing con documentos adjuntos en formato Excel o HTML que incitan a la víctima a hacer clic en un botón que descargará una macro de VBScript.
- La segunda etapa es el VBScript, que contiene tan solo cuatro líneas de código real encargadas de ejecutar un comando de PowerShell.
- La tercera fase consiste en el script de PowerShell, que se encarga de descargar tres archivos: el intérprete legítimo de AutoHotkey, un script de AutoHotkey y un archivo de texto sin formato. Estos archivos se encargan de obtener la carga útil de DarkGate.
Acerca de DarkGate v6
DarkGate v6 ha recibido la mayor actualización desde la cuarta versión, con modificaciones en la configuración, las técnicas de evasión y los comandos compatibles. El cambio más importante es la reestructuración de todo el código principal y la forma en que se procesan los comandos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El malware DarkGate sigue evolucionando y adaptándose a las nuevas tendencias, como demuestra el abandono de AutoIt.
Lo interesante es que estas campañas siguen dependiendo de la interacción manual del usuario para activar las macros de un documento y poner en marcha la cadena de infección. Por lo tanto, aunque el propio malware pueda estar evolucionando, la cadena de ataque —o, al menos, el acceso inicial— parece estar atrasada.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
