En el resumen de esta semana, CTI analiza una herramienta denominada «Xeon Sender», que actualmente se está utilizando para campañas de SMS , phishing y spam. A continuación, CTI analiza la infraestructura más reciente de un grupo de actores norcoreanos patrocinados por el Estado, identificados como UAT-5394. Por último, CTI investiga una campaña de extorsión a gran escala que se aprovecha de archivos de variables de entorno (.env) de acceso público que contienen credenciales asociadas a aplicaciones en la nube y de redes sociales.
1. Xeon Sender se centra en las API en la nube
Recientemente se ha detectado a un actor malicioso utilizando una herramienta de ataque en la nube denominada « » Xeon Sender en campañas de phishing y spam por SMS.
Xeon Sender —también conocido como XeonV5 y SVG Sender— permite a los autores de amenazas distribuir mensajes a través de distintos proveedores de SaaS utilizando credenciales válidas. La herramienta utiliza varios proveedores de servicios, entre los que se incluyen Amazon Simple Notification Service (SNS), Nexmo, Plivo, Proovl, Send99, Telesign, Telnyx, TextBelt y Twilio.
Xeon Sender existe desde, al menos, el año 2022 y, en la actualidad, se distribuye a través de Telegram. Existe otra versión alojada en un servidor web con una interfaz gráfica de usuario, lo que permite que usuarios con menos conocimientos puedan acceder a la herramienta y utilizarla.
Cómo funciona Xeon Sender
Según Sentinel One, Xeon Sender cuenta con una interfaz de línea de comandos (CLI) sencilla que permite al autor de la amenaza comunicarse con el servicio a través de API y llevar a cabo ataques con muy poco esfuerzo. Para que el actor pueda utilizar la herramienta, debe disponer de las claves API adecuadas para el servicio en cuestión.
Cada proveedor requiere varios datos por parte del operador o del actor, entre los que se incluyen la clave de API, la clave secreta, la región de AWS para AWS SNS, el ID de cliente para Telesign, el ID del remitente, el contenido del mensaje y una lista de los números de teléfono de destino almacenada en un archivo de texto. Estos valores se utilizan en una solicitud de API dirigida al servicio en cuestión. El script recorre el archivo de texto con los números de teléfono hasta que se ha procesado cada uno de ellos, con una pausa de 50 milisegundos entre cada iteración del bucle.
Herramientas relacionadas
Xeon Sender cuenta con otras utilidades relacionadas, además de los distintos métodos de envío de SMS. Por ejemplo, las herramientas de verificación de cuentas validarán las credenciales de las cuentas de Nexmo y Twilio. Además, cuenta con un generador de números de teléfono que utiliza Python para generar un número de una longitud determinada. Además, cuenta con una herramienta de verificación de números de teléfono que comprueba un número de teléfono mediante la API de verificación de números de APILayer[.]com para confirmar que dicho número es válido.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta herramienta utiliza servicios legítimos para llevar a cabo operaciones masivas, lo que dificulta su detección.
En estos momentos se está produciendo un aumento considerable del uso de servicios legítimos, ya que diversas variantes de ransomware y malware se aprovechan de dichos servicios para eludir la detección.
2. Cisco Talos da a conocer la infraestructura UAT-5394
Cisco Talos ha dado a conocer detalles sobre una infraestructura que, según se cree, es utilizada por un grupo de actores norcoreanos patrocinados por el Estado, identificado como UAT-5394.
Dicha infraestructura está relacionada con una campaña que utiliza una variante del malware XenoRAT denominada MoonPeak. El actor está utilizando máquinas virtuales para probar el malware antes de su implementación y, recientemente, ha dejado de recurrir a los servicios legítimos en la nube.
Infraestructura UAT-5394
Los investigadores descubrieron varios servidores nuevos mientras realizaban un mapeo de la infraestructura de la campaña. La infraestructura incluye acceso remoto y C2 servidores, sitios para alojar cargas útiles y máquinas virtuales para probar el malware antes de distribuirlo.
Alejarse de los servicios en la nube
Según Cisco Talos, el autor ya no utiliza proveedores legítimos de almacenamiento en la nube para alojar sus cargas maliciosas. En junio, el actor comenzó a utilizar sus propios servidores y sistemas. Cisco Talos analiza en su informe muchos de los servidores utilizados en el ataque, para quienes estén interesados en conocer más detalles técnicos.
Máquinas virtuales para pruebas
Parte de la infraestructura más reciente de este actor incluye máquinas virtuales alojadas en direcciones IP públicas. Se ha observado que estos se conectan a diversos servidores de MoonPeak C2 a través de puertos configurados en el propio malware.
Cisco Talos determinó que se utilizaron dos máquinas virtuales para probar las infecciones de MoonPeak a través de los puertos 9966, 9936, 8936 y 9999. También se utilizó una tercera máquina para realizar pruebas de infección, pero tenía una doble función, ya que también se empleó para conectarse mediante RDP a C2 servidores. Se trata de una técnica poco habitual.
Evolución del malware MoonPeak
A partir del análisis de muestras recientes de MoonPeak, Cisco Talos ha determinado que el malware ha ido evolucionando con el tiempo.
Esta evolución se adapta a la nueva infraestructura y a las pruebas que se realizan mediante máquinas virtuales. Cada nueva muestra del malware presenta un nivel ligeramente mayor de ofuscación y pequeñas variaciones en las comunicaciones.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La conclusión principal es que el autor ha pasado de alojar cargas maliciosas en proveedores legítimos de almacenamiento en la nube a utilizar servidores y sistemas que él mismo controla. Este cambio es justo lo contrario de lo que los investigadores en materia de seguridad han venido observando en el panorama de las amenazas. Cada vez son más los actores que parecen estar aprovechando servicios legítimos en la nube en sus campañas para pasar desapercibidos y eludir la detección.
En este momento, no está claro por qué el actor está volviendo a recurrir a los métodos tradicionales de alojamiento. Será interesante ver si este cambio resulta positivo para este actor o si volverá a dar un giro en su carrera.
3. Los atacantes aprovechan los archivos .env públicos para extorsionar a las víctimas
Palo Alto ha descubierto una campaña de extorsión a gran escala denominada « » ( ), que se aprovecha de archivos .env de acceso público que contienen credenciales asociadas a aplicaciones en la nube y de redes sociales.
La campaña establece su infraestructura de ataque de tipo « » () dentro de los entornos de AWS de las organizaciones afectadas y la utiliza como plataforma de lanzamiento para escanear los objetivos en busca de datos de interés.
Acceso inicial y exploración
Esta campaña fue consecuencia de la filtración de claves de acceso de AWS IAM que se obtuvieron a partir de archivos .env expuestos públicamente. Los atacantes obtuvieron estas claves mediante la búsqueda de archivos .env alojados en aplicaciones web no seguras y las utilizaron para acceder al entorno de nube en el que se alojaban dichas aplicaciones.
Con el fin de realizar un análisis exploratorio, el actor llevó a cabo diversas llamadas a la API para recabar toda la información posible sobre el entorno e identificar los servicios que podía aprovechar, entre ellos IAM, el Servicio de tokens de seguridad (STS), S3 y el Servicio de correo electrónico sencillo (SES).
Escalada de privilegios
El responsable de esta campaña se dio cuenta de que la credencial de IAM original que se utilizó para obtener acceso inicial al entorno no disponía de acceso de administrador a todos los recursos en la nube, pero sí contaba con permisos para crear nuevas funciones de IAM y asignar políticas de IAM a dichas funciones. De este modo, el actor logró elevar sus privilegios en los entornos en la nube.
Ejecución
Tras ampliar sus privilegios, el atacante intentó crear dos entornos de infraestructura distintos: uno utilizando AWS y otro utilizando AWS Lambda.
El actor no ha podido crear un grupo de seguridad, un par de claves ni una instancia EC2 . No obstante, lograron crear varias funciones lambda con el rol de IAM que habían creado anteriormente.
Impacto
El autor de la amenaza creó y utilizó una función Lambda para analizar una lista de dominios con el fin de buscar archivos .env mal configurados o expuestos. Algunos de los archivos .env contenían varias variables que proporcionaban al actor información sobre distintos servicios dentro de un entorno.
Palo Alto clasifica las credenciales identificadas en estos archivos según el tipo de aplicación y ha constatado que las credenciales de aplicaciones son las más habituales. Identificaron más de 90,000 combinaciones únicas de variables filtradas que contenían claves de acceso o credenciales de IAM.
Exfiltración
Además de aprovechar los archivos .env, se observó que el autor también extraía datos de S3 depósitos con la ayuda de la herramienta S3 del navegador.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña nos recuerda que los autores de amenazas muestran un interés cada vez mayor por los entornos en la nube. Lo interesante es que esta campaña no aprovecha ninguna vulnerabilidad para obtener acceso inicial, sino que, en su lugar, se limita a buscar la exposición accidental de archivos .env en aplicaciones web no protegidas. Teniendo esto en cuenta, los defensores tienen la oportunidad de protegerse frente a este ataque.
En su publicación, Palo Alto ofrece recomendaciones para reducir el riesgo de este ataque.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
