En el resumen de esta semana, CTI analiza un nuevo malware denominado «Cuttlefish» que tiene como objetivo los routers de nivel empresarial para pequeñas oficinas y oficinas domésticas (SOHO). A continuación, CTI analiza cómo los ciberdelincuentes y las amenazas persistentes avanzadas (APT) comparten un interés común por las capas de anonimización mediante servidores proxy y los nodos VPN. Por último, CTI analiza cómo los autores de amenazas están utilizando los repositorios de Docker Hub para difundir malware y estafas de phishing de tipo « » , así como la colaboración entre JFrog y Docker en las medidas de mitigación.
1. El malware «Cuttlefish» ataca a los routers de pequeñas oficinas y hogares (SOHO)
Un nuevo malware denominado « » Cuttlefish está atacando a los routers SOHO de nivel empresarial. El malware modular crea un túnel proxy o VPN para supervisar el tráfico que pasa por estos dispositivos con el fin de extraer datos de autenticación a partir de las solicitudes HTTP GET y POST.
Black Lotus Labs, de Lumen Technologies, descubrió esta actividad al detectar una serie de archivos maliciosos que requerían una investigación más exhaustiva. Aunque Black Lotus aún no ha podido determinar el método de acceso inicial, ha confirmado que el autor de la amenaza utiliza un script de bash para recopilar información que posteriormente envía a su C2. Este script se encarga de descargar y ejecutar el malware Cuttlefish, que está compilado para «todas las principales arquitecturas utilizadas por los sistemas operativos SOHO».
Cuttlefish instalará un filtro de paquetes para inspeccionar las conexiones salientes de determinados puertos, protocolos y direcciones IP. Supervisará el tráfico y solo intervendrá para desviarlo cuando detecte determinadas actividades.
Script de Bash malicioso
El script de Bash analizará el dispositivo para buscar el listado de directorios, el contenido de /etc, los procesos en ejecución, las conexiones activas y otros datos.
Tomará esta información y la comprimirá en un archivo que se subirá a un dominio controlado por un actor. Una vez finalizada la carga, el archivo se elimina del dispositivo.
La carga útil principal del Cuttlefish
La primera vez que se ejecute este archivo, se abrirá y se conectará al puerto 61235 , siempre y cuando no lo esté utilizando otro proceso.
Lumen Technologies analizó el archivo e identificó varios parámetros preconfigurados, entre los que se incluyen la eliminación del agente anterior, la selección automática de la interfaz en el router de destino, la indicación de si debe ejecutarse o no como daemon, y otros. La carga útil establecerá una conexión segura con el C2 , que se utilizará para descargar y actualizar el conjunto de reglas.
La muestra es capaz de interceptar y apropiarse de rangos de direcciones IP para obtener credenciales. Cuando un archivo de registro que contenga tráfico filtrado alcance un tamaño determinado, se comprimirá con gzip y se subirá al C2. Los investigadores descubrieron un módulo que ofrecía funcionalidad VPN basada en un proyecto de código abierto denominado n2n. En otras muestras, se utilizó una funcionalidad de proxy como alternativa para redirigir el tráfico a través del dispositivo infectado.
La muestra es capaz de identificar datos de autenticación asociados a servicios como AliCloud, AWS, Digital Ocean, CloudFlare y BitBucket gracias a la creación de un filtro de paquetes Berkeley ampliado.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Cuttlefish resulta interesante porque busca datos específicos de autenticación en la nube mientras rastrea la red, extrayendo únicamente aquello que le interesa.
Este interés por las credenciales en la nube constituye una tendencia al alza en el panorama de las amenazas, a medida que cada vez más ataques comienzan a centrarse en los entornos en la nube. Lumen Technologies considera que los ataques dirigidos contra equipos de red, junto con la recopilación de credenciales en la nube, «tienen por objeto otorgar un acceso persistente a largo plazo a dichos ecosistemas objetivo».
2. Los Estados-nación y los ciberdelincuentes comparten redes comprometidas
Trend Micro, entre otros, está observando un interés común por las capas de anonimización mediante proxy y los nodos VPN, tanto por parte de los ciberdelincuentes como de las APT avanzadas.
Este interés común se deriva de la necesidad que tienen los actores de ocultar su presencia en determinados entornos y dificultar su detección. En última instancia, esto da lugar a la mezcla de tráfico malicioso relacionado tanto con motivos financieros como de espionaje.
Un ejemplo de este interés común lo constituye una red de bots utilizada por ciberdelincuentes que se valía de dispositivos EdgeRouter de Ubiquiti que habían sido comprometidos. Un grupo de ciberataques persistentes (APT) denominado «Pawn Storm» logró acceder a los bots de esta red de bots y utilizarlos para sus propias campañas de espionaje. Por este motivo, varios actores maliciosos estaban utilizando estos EdgeRouters de Ubiquiti comprometidos con fines que iban desde ataques de fuerza bruta a SSH hasta reflectores SMB en ataques de retransmisión de hash NTLMv2 , pasando por el envío de correos electrónicos de spear phishing, entre otros.
La red de bots mencionada anteriormente lleva activa desde el año 2016 y fue desmantelada por el FBI en January 2024. Se ha actualizado y ampliado su código, y ahora se encuentra en la versión 20.3. La red de bots está compuesta por scripts de Bash, scripts de Python y binarios maliciosos de Linux, como SSHDoor. Puede obtener información sobre el equipo, como carpetas, usuarios del sistema, potencia de cálculo, software instalado, contraseñas y mucho más.
¿Qué es SSHDoor?
El término «SSHDoor» hace referencia a versiones de servidores SSH que contienen puertas traseras. Puede sustraer credenciales legítimas y «permitir el acceso no autorizado de terceros mediante la incorporación de credenciales codificadas de forma fija o una clave SSH».
Los investigadores creen que el actor malicioso Pawn Storm utilizó SSHDoor para acceder a routers basados en EdgeOS. La desarticulación de la red de bots por parte del FBI tuvo un impacto significativo en las campañas de Pawn Storm. Sin embargo, no se han eliminado todos y cada uno de los EdgeRouter.
Se ha detectado el malware Ngioweb en EdgeOS
Trend Micro ha identificado otra red de bots de Linux que ejecutaba malware en algunos de los EdgeRouters que fueron objeto de abuso por parte de Pawn Storm.
Esta red de bots de Linux era más sofisticada y se determinó que se trataba de una versión del malware Ngioweb. Los bots de esta red de bots se utilizaron en una red de bots residencial que se comercializa.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Es habitual que los autores de amenazas compartan intereses y objetivos comunes, y tampoco es extraño que, en ocasiones, compartan también infraestructura.
Lo que estamos observando cada vez con mayor frecuencia es el uso de los mismos routers comprometidos para distintos fines y objetivos finales. Esto está empezando a convertirse en una especie de nuevo modelo de negocio dentro de la comunidad de ciberdelincuentes, en el que los autores de amenazas alquilan ahora routers comprometidos a otros actores con el fin de obtener beneficios y reducir la barrera de entrada.
3. Los ciberdelincuentes utilizan Docker Hub para difundir malware y estafas de phishing
JFrog y Docker están colaborando en las medidas de mitigación y limpieza tras descubrir unos repositorios de Docker Hub que se están utilizando para difundir malware y estafas de phishing.
Docker Hub alberga actualmente unos 15 millones de repositorios. JFrog ha descubierto que aproximadamente el 19 % de esos repositorios (2.8 millones) contienen contenido malicioso. El contenido malicioso abarca desde el correo basura hasta la promoción de contenido falso, sitios web con malware, sitios de suplantación de identidad y mucho más.
Cómo los autores de amenazas se aprovechan de Docker Hub
Docker Hub es una plataforma comunitaria en la que los usuarios pueden buscar imágenes para sus proyectos. Los administradores del repositorio pueden añadir una descripción y la documentación correspondiente en formato HTML, que los usuarios podrán ver al consultar el repositorio.
JFrog ha detectado unos 4.6 millones de repositorios que carecen de imágenes y no contienen ningún contenido aparte de la documentación del propio repositorio. Al analizar más detenidamente estos repositorios, JFrog descubrió que la mayoría de ellos se habían subido con intenciones maliciosas.
Identificación de repositorios maliciosos
JFrog recopiló todos los repositorios de Docker Hub sin imágenes publicados en los últimos cinco años, identificando un repunte en los años 2021 y 2023. Analizaron la situación más detenidamente durante el día y observaron un patrón relacionado con la semana laboral, según el cual se creaban más repositorios los días laborables que los fines de semana.
JFrog logró agrupar los repositorios anómalos en tres tipos de campañas (más información al respecto a continuación). De los 4.6 millones de repositorios sin imágenes, pudieron vincular 2.8 millones a estos tres tipos de campaña.
Las tres campañas
Se determinó que los repositorios maliciosos identificados formaban parte de tres campañas de gran envergadura.
- Downloader: Los repositorios incluidos en la campaña de Downloader contenían «textos generados automáticamente con contenido optimizado para motores de búsqueda (SEO) en los que se proponía la descarga de contenido pirateado o trucos para videojuegos». En la primera gran oleada de esta campaña, las URL se hacían pasar por conocidos servicios de acortamiento de enlaces y redirigían al usuario, actuando como proxy de una CDN maliciosa. En la segunda oleada importante, los repositorios redirigían recursos legítimos hacia fuentes maliciosas.
- Phishing de libros electrónicos: Los repositorios afectados por la campaña de phishing de libros electrónicos convirtieron, en esencia, a Docker Hub en una biblioteca de libros electrónicos pirateados, en la que se ofrecían descargas gratuitas de libros electrónicos. Aunque se ofrece de forma gratuita, la campaña le pediría al usuario que introdujera los datos de su tarjeta de crédito en un formulario con el objetivo de sustraer dicha información.
- Optimización para motores de búsqueda (SEO) del sitio web: Esta campaña resulta menos clara que las dos anteriores. Los repositorios incluidos en esta campaña son, en su mayoría, inofensivos, aunque se cree que se subieron con intenciones maliciosas. JFrog considera que estas podrían haberse utilizado como una especie de prueba de resistencia antes de llevar a cabo campañas de mayor envergadura.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Estos hallazgos ponen de manifiesto la facilidad con la que los repositorios de código abierto pueden utilizarse en ataques a la cadena de suministro y reiteran que es probable que se estén produciendo actividades similares en distintos repositorios de código abierto.
Lo que hace que este tipo de ataques resulten especialmente lucrativos es la confianza inherente que, en ocasiones, se deposita en plataformas como Docker Hub. JFrog incluye en su informe información detallada sobre cómo identificar las imágenes de Docker marcadas como «Contenido de confianza», lo que puede ayudar a reducir (aunque no a eliminar por completo) el riesgo de estos ataques.
Cabe señalar que Docker Hub ha eliminado los repositorios maliciosos identificados, pero que bloquear de forma sistemática cada subida maliciosa resulta prácticamente imposible.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
