En el resumen de esta semana, CTI analiza una sofisticada campaña de malware que distribuye programas maliciosos mediante la función de búsqueda de Windows integrada en código HTML. A continuación, CTI analiza el descargador RAT de Remcos, que se distribuye a través de archivos UUE comprimidos. Por último, CTI investiga si una operación del ransomware Black Basta aprovechó una vulnerabilidad de escalada de privilegios en Windows.
1. El malware aprovecha la función de búsqueda de Windows en HTML
Una sofisticada campaña de malware está aprovechando la funcionalidad de búsqueda de Windows (se abre en una nueva pestaña) dentro del código HTML para distribuir malware.
Según Trustwave, el autor de la campaña parece tener un profundo conocimiento de las vulnerabilidades del sistema y del comportamiento de los usuarios, lo que le permite llevar a cabo una campaña de phishing más sofisticada.
Esta campaña comienza con un correo electrónico de phishing de (se abre en una nueva pestaña) que incluye un archivo adjunto en formato HTML. El archivo HTML se incluye dentro de un archivo ZIP para eludir los escáneres de seguridad de correo electrónico más habituales.
Trustwave señala que, hasta la fecha, se trata de una campaña de escaso alcance, ya que los investigadores solo han observado unos pocos casos en el entorno real.
El archivo adjunto en formato HTML
El archivo adjunto en formato HTML parece sencillo a primera vista, pero está diseñado para lanzar un ataque sofisticado.
Cuando la víctima abra el archivo, este hará un uso indebido de los protocolos web estándar para aprovechar las funciones del sistema Windows. El código contiene un atributo que indica al navegador que recargue la página y redirija a una nueva URL. El código también incluye un retraso específico, que en la mayoría de los casos se establece en cero para que la redirección se produzca de forma inmediata.
El código HTML también incluye una etiqueta de enlace que actúa como mecanismo de reserva. Si la actualización no se lleva a cabo, el usuario podrá, no obstante, hacer clic en un enlace para activar manualmente el resto de la cadena.
Aprovechamiento del protocolo de búsqueda
Una vez que se haya cargado el código HTML, el navegador suele solicitar al usuario que autorice la acción de búsqueda.
Existen medidas de seguridad destinadas a impedir que comandos no autorizados ejecuten determinadas operaciones perjudiciales sin el consentimiento del usuario. En este caso, la URL de redirección utiliza el protocolo «search:», que permite a una aplicación interactuar con la función de búsqueda del Explorador de Windows.
Una vez que el usuario haga clic para autorizar la acción de búsqueda, la función obtendrá varios archivos de un servidor remoto, de los cuales solo uno aparecerá en los resultados de la búsqueda. Este archivo es un archivo LNK que apunta a un script por lotes ubicado en el mismo servidor y que activa operaciones maliciosas adicionales. Los investigadores no pudieron obtener este script de lote.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este ataque requiere la participación de las víctimas, lo que, esperemos, limite su éxito.
Un aspecto a tener en cuenta sobre este ataque es que utiliza un inicio diferido de cero, lo que significa que la página redirigirá de forma inmediata y no dará al usuario mucho tiempo para reaccionar. Este atributo podría modificarse en el futuro para las redirecciones diferidas.
2. El RAT Remcos se propaga a través de archivos UUE
El programa de descarga Remcos RAT de (se abre en una nueva pestaña) se está distribuyendo a través de archivos UUE comprimidos con Power Archiver. El malware, que sigue distribuyéndose a través de correos electrónicos de phishing, ahora adjunta archivos UUE maliciosos a un mensaje engañoso con temática de factura.
Acerca del método UUE
El actor está buscando nuevas formas de distribuir un guion VBS y, actualmente, codifica el guion con el archivo adjunto UUE.
UUE es la abreviatura de «codificación de Unix a Unix» y se utiliza para compartir datos entre sistemas Unix. Un archivo UUE típico constará de un encabezado, datos codificados y un final.
El autor de la amenaza utiliza UUE para eludir la detección. Una vez descodificado el archivo del autor, se revela un script VBS ofuscado.
El programa de descarga
El script VBS resultante guarda un script de PowerShell en el directorio «Temp» y lo denomina «Talehmmedes.txt»
Este script se ejecutará y se encargará de descargar «Haartoppens.eft» y de ejecutar un script adicional de PowerShell. Este script de PowerShell ofuscado se utiliza principalmente para cargar un código de shell en el proceso wab.exe. El código de shell cargado establece la persistencia mediante la creación de una entrada en el registro y, finalmente, ejecutará el RAT Remcos.
El propio malware Remcos RAT no parece haber sufrido cambios significativos. Sigue recopilando información del sistema y la guarda en el directorio %Appdata& para transferirla a su servidor C2 .
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este actor parece estar dedicando más tiempo y esfuerzo a buscar nuevas vías de distribución que a actualizar el propio malware.
Este enfoque resulta inteligente, ya que permite al actor acceder inicialmente a la red sin ser detectado. Sin embargo, al no haberse introducido cambios en el propio malware, es más probable que sea detectado por los sistemas de defensa, especialmente por aquellos que cuentan con mecanismos de detección de tácticas, técnicas y procedimientos (TTP) conocidos, así como de indicadores de compromiso (IOC).
Dicho esto, esta investigación sigue siendo interesante, ya que destaca los archivos UUE como nuevos mecanismos de distribución.
3. Black Basta aprovecha una vulnerabilidad de escalada de privilegios en Windows
Los investigadores creen que la operación de ransomware « » (Black Basta) (se abre en una nueva pestaña) podría haber aprovechado una vulnerabilidad de escalada de privilegios de Windows identificada con el número CVE-2024-26169.
Esta vulnerabilidad, que presenta un alto nivel de gravedad, pudo haber sido objeto de explotación como un ataque de tipo « » de día cero (se abre en una nueva pestaña) antes de que se publicara el parche correspondiente en la actualización de «Patch Tuesday» de marzo de Microsoft.
¿Qué es el CVE-2024-26169?
CVE-2024-26169 (se abre en una nueva pestaña) es un fallo de elevación de privilegios en el Servicio de Notificación de Errores de Windows. Cuando un atacante aprovecha esta vulnerabilidad, puede elevar sus privilegios al nivel de SYSTEM.
La vulnerabilidad CVE-2024-26169 presenta una puntuación CVSS elevada, de 7.8, lo que indica que se trata de una vulnerabilidad grave.
Explotación
Una nueva investigación indica que el grupo de ciberdelincuentes Cardinal (también conocido como Storm-1811, UNC4393 y los responsables del ransomware Black Basta) podría haber aprovechado la vulnerabilidad de Windows.
En el informe inicial sobre la vulnerabilidad se indicaba que no había pruebas de que se estuviera aprovechando en la red. Sin embargo, el análisis de una herramienta de explotación utilizada en ataques recientes revela que podría haber sido compilada antes de que se publicara el parche, lo que significa que la vulnerabilidad podría haber sido explotada como una vulnerabilidad de día cero (se abre en una nueva pestaña).
Enlaces sobre Black Basta
Symantec ha analizado una herramienta de explotación utilizada recientemente en un intento de ataque con ransomware. Aunque el ataque finalmente no tuvo éxito, los investigadores pudieron relacionarlo con la operación «Black Basta» gracias a las técnicas, tácticas y procedimientos (TTP) empleadas en el mismo.
Herramienta de explotación
Según Symantec, la herramienta de explotación «aprovecha el hecho de que el archivo werkernel.sys de Windows utiliza un descriptor de seguridad nulo al crear claves del Registro».
La herramienta creará una clave del Registro y establecerá el valor «debugger» con la ruta de acceso a su propio ejecutable. De este modo, el exploit puede ejecutar un shell con privilegios de administrador.
La primera variante de la herramienta utilizada en el ataque tiene una fecha y hora de compilación de February 27, 2024, varias semanas antes de que se publicara un parche. Se ha descubierto una variante adicional de la herramienta en Virus Total con una fecha y hora de compilación de December 18, 2023.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La operación de ransomware Black Basta ha estado haciendo un uso indebido de productos legítimos de Microsoft en los últimos meses, como Quick Assist y Teams. Teniendo esto en cuenta, resulta lógico pensar que el autor pudiera haber intentado aprovechar una vulnerabilidad de día cero en otro producto de Microsoft antes de esta actividad. Al parecer, la herramienta de explotación analizada por Symantec se utilizó en un ataque fallido, algo que no solemos ver con frecuencia por parte de este prolífico grupo.
Black Basta ha cambiado históricamente sus tácticas, técnicas y procedimientos (TTP) con bastante rapidez (se abre en una nueva pestaña), por lo que es probable que este intento fallido sea solo uno de los muchos que vendrán.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
