En el resumen de esta semana, CTI destaca un aviso de amenaza global sobre el actor vinculado a China conocido como « APT40». A continuación, CTI analiza un nuevo actor malicioso dedicado al espionaje, conocido como CloudSorcerer, que ataca a organizaciones con malware capaz de adaptar su comportamiento en función del entorno en el que se ejecuta. Asimismo, se incluye una descripción general de Eldorado, una operación de «ransomware como servicio» (RaaS) que surgió en marzo.
1. APT40 aprovecha rápidamente las vulnerabilidades de la red
Las agencias de ciberseguridad de Australia, Alemania, Japón, Nueva Zelanda, Corea del Sur, el Reino Unido y Estados Unidos han publicado un aviso conjunto sobre el grupo APT40, vinculado a China.
APT40 lleva mucho tiempo en el mercado y se ha dirigido a una amplia variedad de sectores y países. Según el último aviso, APT40 puede aprovechar rápidamente las vulnerabilidades recién identificadas, a menudo en cuestión de horas o días tras su divulgación pública.
El informe detalla las técnicas de espionaje que se observaron en las redes australianas. El grupo lleva a cabo de forma habitual operaciones de reconocimiento contra redes de interés con el fin de buscar una oportunidad para atacar.
TTP destacadas
- El grupo APT40 suele utilizar dispositivos comprometidos como infraestructura operativa y como redireccionadores de último salto para sus operaciones en Australia y, probablemente, en otros lugares.
- Este grupo suele centrarse en dispositivos de pequeñas oficinas y oficinas domésticas (SOHO) que han llegado al final de su vida útil o que no cuentan con los parches de seguridad necesarios y que, por lo tanto, son objetivos idóneos para el aprovechamiento de vulnerabilidades.
- Tras comprometer el dispositivo, el autor lo utiliza para lanzar ataques y camuflarse entre el tráfico legítimo.
Dos casos prácticos
El informe conjunto presenta dos casos prácticos que ilustran las capacidades del programa APT40’s .
- Caso práctico n.º 1: «»: Los organismos de seguridad analizaron un ataque exitoso que tuvo lugar en 2022 y que pone de relieve las técnicas de trabajo del autor.
En este ejemplo, se observó que el actor realizaba un recuento de los hosts para crear su propio mapa de la red, instalaba «web shells» como medio para ejecutar comandos e implementaba herramientas adicionales. El APT40 se desplazó lateralmente por toda la red, lo cual resultó más sencillo debido a que esta presentaba una estructura bastante plana.
- Case study 2: The advisory also looked at an additional APT40 attack in which an organization identified malicious software on one of their internet-facing servers that served as a login portal for their remote access solution.
Se enumeraron APT40 hosts, se aprovecharon aplicaciones expuestas a Internet, se utilizaron shells web, se explotaron vulnerabilidades de software y se recopilaron credenciales para lograr un mayor movimiento lateral.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El grupo APT40 puede aprovechar rápidamente nuevas vulnerabilidades gracias a sus actividades de reconocimiento de redes, que lleva a cabo de forma regular y sistemática.
Es posible que el grupo disponga de una lista de víctimas a las que pretende atacar, en lugar de actuar de forma más oportunista, lo cual suele ser habitual en los casos de explotación de vulnerabilidades.
APT40’s ability to take a vulnerability POC and use it in the wild successfully within such a short timeframe highlights the group’s sophistication.
2. El grupo APT CloudSorcerer tiene como objetivo a organizaciones rusas
Un nuevo actor malicioso dedicado al espionaje, al que se le conoce como « » CloudSorcerer, está atacando activamente a organizaciones con malware capaz de adaptar su comportamiento en función del entorno en el que se ejecute.
CloudSorcerer tiene como objetivo principal, en la actualidad, a organizaciones rusas y depende en gran medida de los servicios de nube pública para sus operaciones de mando y control.
¿Qué es CloudSorcerer?
Este actor fue descubierto por primera vez en « May 2024». El grupo se dedica a la vigilancia, la recopilación de datos y la sustracción de datos a través de servicios como Microsoft Graph, Yandex Cloud y Dropbox. Se sabe que la empresa utiliza estos servicios de nube pública para su C2 y accederá a ellos a través de API mediante tokens de autenticación.
Según SecureList, el malware debe ser ejecutado manualmente por el autor de la amenaza en un equipo que ya esté infectado. Su función variará en función del proceso en el que se ejecute. Cuando se ejecute, llamará a una función para determinar en qué proceso se está ejecutando. El nombre del proceso devuelto se compara con un conjunto de cadenas predefinidas y el malware activará una función diferente en función del resultado de dicha comparación.
Si el nombre del proceso es mspaint.exe, el malware actuará como una puerta trasera, recopilará datos y ejecutará código. Si se comprueba que el nombre del proceso es «msiexec.exe», el malware activará su módulo de comunicación « C2 ». Si el nombre del proceso contiene la cadena «browser» o si no coincide con una cadena concreta, intentará inyectar código shell en msiexec.exe, mspaint.exe o explorer.exe antes de cerrar el proceso inicial.
El módulo de puerta trasera de CloudSorcerer
El módulo de puerta trasera recopila información sobre el equipo, la almacena y la escribe en una tubería con nombre que está conectada al C2. Leerá los datos entrantes y ejecutará la acción correspondiente. Entre las acciones que puede llevar a cabo se incluyen la recopilación de información adicional, la ejecución de comandos de shell, la copia, el traslado, el cambio de nombre y la eliminación de archivos, entre otras.
También puede ejecutar tareas adicionales, como vaciar la caché de DNS, crear procesos, eliminar claves del Registro, enumerar recursos compartidos, eliminar usuarios, enumerar conexiones RDP y mucho más.
Módulo « C2 » de CloudSorcerer
El módulo C2 creará una nueva conexión de canal de Windows y configurará una conexión con el servidor C2 . Para ello, proporcionará argumentos a una secuencia de funciones de la API de Windows. El servidor C2 es una página de GitHub y el malware la leerá en un búfer de memoria. El actor también intenta obtener datos de un sitio web ruso de alojamiento de fotografías en la nube. Este módulo interactuará con los servicios en la nube para leer datos, recibir comandos, descodificarlos y enviarlos al módulo de puerta trasera.
Infraestructura
Se ha observado que el actor utiliza Yandex Cloud, Microsoft Graph y las URL de Dropbox en la nube, además de la página de GitHub y el sitio ruso de alojamiento de fotografías en la nube.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
CloudSorcerer se suma a la tendencia de la nube aprovechando los servicios de nube pública para cosas como el curso « C2». Este es un tema recurrente en el panorama actual de las amenazas.
La diferencia radica en que el malware se ejecuta manualmente y solo después de que el equipo ya haya sido infectado. No parece que haya mucha información disponible sobre cómo este actor consigue acceder a un equipo comprometido.
No obstante, el uso de malware que determina su función y finalidad principales en función del proceso en el que se ejecuta revela un cierto grado de sofisticación.
3. Eldorado supone una amenaza para los sistemas Windows y Linux
Eldorado es una nueva operación de «ransomware como servicio» (RaaS) de que surgió en marzo, cuando publicó anuncios en foros clandestinos en busca de pentesters para que se unieran a su equipo. Existe una variante para Windows y otra para Linux, y ya ha afectado a 16 víctimas en diversos sectores desde su aparición.
El surgimiento de Eldorado
Un usuario conocido como «$$$» en el foro clandestino RAMP creó un programa de afiliados para el ransomware Eldorado a mediados deMarch 2024.
Las publicaciones de este usuario indican que el actor habla ruso. Para generar una muestra de ransomware, los afiliados deberán especificar el nombre de la empresa objetivo, el nombre del archivo y el texto de las notas de rescate, así como la contraseña de administrador del dominio.
La empresa de ciberseguridad con sede en Singapur Group-IB ha conseguido hacerse con un programa de cifrado y ha informado de que está disponible para esxi, esxi_64, win y win_64.
Selección de víctimas y victimología
El ransomware Eldorado ha atacado al menos a 16 empresas de diversos sectores. Trece de los 16 atentados tuvieron lugar en Estados Unidos; dos de ellos se produjeron en Italia y uno en Croacia.
Detalles técnicos
El programa de cifrado se ha desarrollado en Golang para que sea compatible con múltiples plataformas. A todos los archivos que Eldorado cifra se les añade la extensión .00000001 .
El ransomware dejará una nota de rescate en las carpetas «Documentos» y «Escritorio». Contiene instrucciones para que la víctima se ponga en contacto con el autor a través de una URL concreta para mantener un chat en directo.
La variante para Windows de Eldorado
La variante «Eldorado» de Windows admite varios parámetros de línea de comandos. En la muestra analizada por Group-IB, se constató que algunos registros se enviaban a una dirección IP concreta a través de WebSockets. Para el cifrado, el ransomware utiliza el algoritmo Chacha20 para los archivos y RSA-OAEP para la clave generada.
Para cada archivo seleccionado, genera una clave de 32 bytes y un nonce de 12 bytes, ambos cifrados con RSA-OAEP. El ransomware ejecutará un comando de PowerShell para sobrescribir el programa de cifrado y, a continuación, eliminará el archivo con el fin de borrar cualquier rastro de sus actividades. Además, eliminará las copias de volumen de sombra. El ransomware excluirá determinadas extensiones de archivo, como .00000001, .exe, .dll, .sys, .msi, .ini, .inf y .lnk.
La variante de Linux de Eldorado
El cifrador de Linux solo admite el argumento «-path» y es bastante sencillo. Recorrerá de forma recursiva los archivos de un directorio determinado. El algoritmo de cifrado de esta variante es el mismo que el de la variante de Windows.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Según Group-IB, Eldorado es especialmente singular porque no se basa en generadores que ya se habían filtrado anteriormente, como Babuk o LockBit.
Con bastante frecuencia surgen nuevas variantes de ransomware, pero muchas de ellas se basan en estos generadores filtrados. Es evidente que el creador de Eldorado dedicó más tiempo y esfuerzo al ransomware, ya que optó por desarrollarlo desde cero.
Esto, sumado al hecho de que ya existen variantes del ransomware para Windows y Linux, y a que ya ha causado varias víctimas, convierte a Eldorado en una amenaza más grave.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
