En el resumen de esta semana, CTI analiza una sofisticada campaña de malware que implementa malware utilizando la funcionalidad de búsqueda de Windows integrada dentro del código HTML. Luego, CTI analiza el descargador RAT de Remcos, que se distribuye a través de archivos UUE comprimidos. Finalmente, CTI investiga si una operación de ransomware Black Basta explotó una vulnerabilidad de escalamiento de privilegios de Windows.
1. Malware aprovecha la funcionalidad de búsqueda de Windows en HTML
Una sofisticada campaña de malware está aprovechando la funcionalidad de búsqueda de Windows (se abre en una nueva pestaña) dentro del código HTML para implementar malware.
Según Trustwave, el actor detrás de la campaña parece tener una comprensión madura de las vulnerabilidades del sistema y los comportamientos del usuario, lo que les permite realizar una campaña de phishing más avanzada.
Esta campaña comienza con un correo electrónico de phishing (se abre en una nueva pestaña) que incluye un adjunto HTML. El archivo HTML se adjunta dentro de un archivo ZIP para evadir escáneres de seguridad de correo electrónico más tradicionales.
Trustwave señala que esta ha sido una campaña de bajo volumen hasta el momento, con investigadores que observan solo unas pocas instancias en su hábitat natural.
El adjunto HTML
El adjunto HTML parece simple al principio, pero está diseñado para iniciar un ataque sofisticado.
Cuando la víctima abre el archivo, abusará de los protocolos web estándar para explotar las funciones del sistema Windows. El Código contiene un atributo que indica al navegador que vuelva a cargar la página y redirija a una nueva dirección URL. El código también contiene un retraso especificado, que en la mayoría de los casos se establece en cero para que la redirección se produzca instantáneamente.
HTML también incluye una etiqueta de anclaje que sirve como mecanismo de reserva. Si la actualización no se ejecuta, el usuario aún puede hacer clic en un enlace para invocar manualmente el resto de la cadena.
Explotar el protocolo de búsqueda
Una vez que se carga HTML, el navegador generalmente le pedirá a los usuarios que permitan la acción de búsqueda.
Existen medidas de seguridad para evitar que comandos no autorizados ejecuten ciertas operaciones dañinas sin el consentimiento del usuario. En este caso, la dirección URL de redirección aprovecha el Protocolo “search:”, que permite que una aplicación interactúe con la función de búsqueda de Windows Explorer.
Después de que el usuario haga clic para permitir la acción de búsqueda, la función obtendrá varios archivos de un servidor remoto, solo uno de los cuales aparecerá en los resultados de la búsqueda. Este archivo es un archivo LNK que apunta a un script por lotes en el mismo servidor que activa operaciones maliciosas adicionales. Los investigadores no pudieron obtener este script de lote.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Este ataque requiere la interacción de las víctimas, lo que, con suerte, limitará su éxito.
Una cosa a tener en cuenta sobre este ataque es que utiliza un inicio retrasado de cero, lo que significa que la página se redirigirá inmediatamente y no dará al usuario mucho tiempo para reaccionar. Este atributo podría alterarse en el futuro para las redirecciones retrasadas.
2. Remcos RAT se propaga a través de archivos UUE
El descargador RAT de Remcos (se abre en una nueva pestaña) se distribuye a través de archivos UUE que se comprimen con Power Archiver. El malware, que continúa siendo entregado a través de correos electrónicos de phishing, ahora está adjuntando archivos UUE maliciosos a un señuelo con tema de factura.
Acerca del método UUE
El actor está encontrando nuevas formas de distribuir un script de VBS, ahora codificando el script con el adjunto UUE.
UUE es la abreviatura de codificación Unix-to-Unix y se utiliza para compartir datos entre sistemas Unix. Un archivo UUE típico tendrá un encabezado, datos codificados y un final.
El perpetrador utiliza UUE para omitir la detección. Una vez que se decodifica el archivo del actor, se revela un script de VBS oculto.
El descargador
El script VBS resultante guarda un script de PowerShell en el directorio Temp y lo llama “Talehmmedes.txt”
Este script se ejecuta y se comunicará con usted para descargar “Haartoppens.eft” y ejecutar un script adicional de PowerShell. Este script de PowerShell oculto se utiliza principalmente para cargar un código shell en el proceso wab.exe. El código shell cargado establece la persistencia agregando un registro y, en última instancia, ejecutará Remcos RAT.
El malware RAT de Remcos en sí no parece tener cambios importantes realizados en él. Continúa recopilando información del sistema, guardándola en el directorio %Appdata& para la exfiltración en su servidor C2 .
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Este actor parece estar dedicando más tiempo y esfuerzo a buscar nuevos mecanismos de entrega que a actualizar el malware real.
Este enfoque es inteligente ya que el actor puede llegar inicialmente a la red sin ser detectado. Sin embargo, sin cambios realizados al malware en sí, es más probable que los defensores lo detecten, especialmente aquellos que tienen detecciones implementadas para tácticas, técnicas y procedimientos conocidos (TTP) e indicadores de compromiso (IOC).
Dicho esto, esta investigación sigue siendo interesante, ya que destaca los archivos UUE como nuevos mecanismos de entrega.
3. Black Basta explota una vulnerabilidad de escalamiento de privilegios de Windows
Los investigadores creen que la operación de ransomware Black Basta (se abre en una nueva pestaña) puede haber explotado una vulnerabilidad de escalamiento de privilegios de Windows rastreada como CVE-2024-26169.
Esta falla, que tiene una calificación de alta gravedad, se explotó potencialmente como un día cero (se abre en una nueva pestaña) antes de un parche que se puso a disposición en la actualización del martes de parche de marzo de Microsoft.
¿Qué es CVE-2024-26169?
CVE-2024-26169 (se abre en una nueva pestaña) es una elevación de un error de privilegio en el servicio de Reporting de errores de Windows. Cuando un actor explota esta vulnerabilidad, puede elevar sus privilegios a SYSTEM.
CVE-2024-26169 tiene un puntaje CVSS alto de 7.8, lo que indica que la vulnerabilidad es grave.
Explotación
Una nueva investigación indica que el grupo de delitos cibernéticos de Cardinal (también conocido como Storm-1811, UNC4393 y los operadores del ransomware Black Basta) pueden haber explotado la vulnerabilidad de Windows.
El informe original de la vulnerabilidad indicó que no había evidencia de explotación en su hábitat natural. Sin embargo, el análisis de una herramienta de exploit utilizada en ataques recientes revela que podría haberse compilado antes del parche, lo que significa que la vulnerabilidad podría haberse explotado como un día cero (se abre en una nueva pestaña).
Enlaces de Black Basta
Symantec analizó una herramienta de exploit utilizada recientemente en un intento de ataque de ransomware. Aunque el ataque finalmente no tuvo éxito, los investigadores pudieron vincularlo a la operación Black Basta debido a los TTP utilizados en el ataque.
Herramienta Exploit
Según Symantec, la herramienta de exploit “aprovecha el hecho de que el archivo de Windows werkernel.sys utiliza un descriptor de seguridad nulo al crear claves de registro”.
La herramienta creará una clave de registro y establecerá el valor “depurador” en su propio nombre de ruta ejecutable. Al hacerlo, el exploit puede ejecutar un shell con privilegios administrativos.
La primera variante de la herramienta en el ataque tiene una marca de tiempo de compilación de February 27, 2024, varias semanas antes de que se lanzara un parche. Se descubrió una variante adicional de la herramienta en Virus Total con una marca de tiempo de compilación de December 18, 2023.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
La operación de ransomware Black Basta ha estado abusando de productos legítimos de Microsoft en los últimos meses, como Quick Assist y Teams. Teniendo en cuenta esto, tiene sentido que el actor haya intentado explotar un día cero en otro producto de Microsoft antes de esta actividad. Se dijo que la herramienta de exploit analizada por Symantec se había utilizado en un ataque fallido, que no vemos mucho de este grupo prolífico.
Black Basta históricamente ha cambiado los TTP bastante rápido (se abre en una nueva pestaña), lo que hace que este intento fallido sea probablemente solo uno de muchos por venir.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium (se abre en una nueva pestaña) para iniciar una conversación.
Para obtener más información, póngase al día con nuestras recientes redondeos de inteligencia sobre amenazas cibernéticas (se abre en una nueva pestaña).
