En el resumen de esta semana, CTI analiza un caso relacionado con un usuario externo que enviaba mensajes de chat no solicitados a través de Microsoft Teams a varios empleados. A continuación, CTI analiza un informe de Guardio Labs sobre cómo ha evolucionado el ecosistema del phishing hasta llegar a democratizarse. Por último, CTI concluye con un análisis de un grupo de ransomware conocido como BianLian, que se ha mantenido entre los 10 grupos más activos según los datos recopilados de sitios web de filtraciones.
1. El malware DarkGate se propaga a través de los chats de grupo de Teams
El equipo de Detección y Respuesta Gestionadas (MDR) en materia de ciberseguridad de AT&T colaboró recientemente con uno de sus clientes en relación con un usuario externo que enviaba mensajes no solicitados en los chats de Microsoft Teams a varios de sus empleados.
AT&T (ahora LevelBlue) determinó que el autor de la amenaza estaba relacionado con el malware DarkGate de y que pretendía distribuir malware entre los miembros de la organización a través de los chats grupales de Teams.
El evento inicial
La investigación de AT&T se inició cuando uno de sus clientes facilitó una captura de pantalla en la que se veía cómo una entidad externa le invitaba a un chat grupal en Microsoft Teams y que, en su opinión, se trataba de un intento de phishing de .
El dominio del remitente era «.onmicrosoft[.]com», lo que a primera vista podría parecer legítimo para algunos usuarios. La investigación de AT&T sobre este dominio no reveló ningún indicio de actividad sospechosa. Por consiguiente, es probable que el nombre de usuario y/o todo el dominio se viera comprometido antes del ataque.
La investigación
AT&T realizó una búsqueda del nombre de usuario externo en el entorno de su cliente y encontró más de 1,000 eventos «MessageSent» en Microsoft Teams generados por dicho nombre de usuario. Aunque los eventos no incluían los identificadores de los destinatarios, sí incluían el identificador de inquilino del usuario externo.
A partir de ahí, decidieron centrarse específicamente en los eventos «MemberAdded» para averiguar cuántos usuarios se unieron a un chat con este usuario. AT&T pudo identificar a tres usuarios que entraron en un chat con este usuario y descargaron un archivo con doble extensión denominado «Navigating Future Changes October 2023.pdf.msi».
AT&T obtuvo los hash correspondientes y se los facilitó al cliente para que los bloqueara. Tras ejecutar el archivo malicioso en un entorno de pruebas aislado, pudieron observar que este se conectaba a un dominio que se había asociado previamente con la actividad de DarkGate C2 .
Medidas recomendadas
Para evitar que este tipo de ataques afecten a las operaciones, AT&T recomienda desactivar el «Acceso externo» en Microsoft Teams, salvo que sea necesario para el día a día de la empresa.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este ataque es tan sencillo, pero a la vez tan eficaz, que no es de extrañar que ya hayamos visto anteriormente cómo hackers de « » utilizaban Microsoft Teams para propagar DarkGate . No existe ningún malware personalizado complejo ni métodos de acceso complicados. Se basa simplemente en técnicas de ingeniería social y se aprovecha del nivel de confianza que los empleados tienen en su plataforma de comunicación interna.
En todo caso, este ataque nos recuerda que el phishing y la ingeniería social no se producen únicamente a través del correo electrónico y que debemos estar atentos en todas las plataformas.
2. Los mercados de Telegram contribuyen a los ataques de phishing
Investigadores de Guardio Labs han informado recientemente sobre cómo ha evolucionado el ecosistema del phishing hasta llegar a democratizarse.
Esta evolución se debe en gran medida a Telegram y a cómo la plataforma permite a los ciberdelincuentes obtener fácilmente lo necesario para llevar a cabo un ataque, una tarea que antes solo estaba al alcance de quienes se movían en la dark web y a través de las redes Tor Onion.
Los mercados de phishing de Telegram
Guardio Labs ha analizado en profundidad el ecosistema de phishing de Telegram y ha recreado una campaña maliciosa por tan solo 230 dólares para demostrar lo sencillo que resulta.
Dado que Telegram alberga numerosos canales y grupos públicos, basta con una simple búsqueda para que un ciberdelincuente pueda ponerse en marcha, lo cual es exactamente el tipo de estafa de phishing « » perpetrada por grupos norcoreanos —también a través de Telegram— sobre la que informamos el año pasado.
Cómo detectar una página web de phishing
Guardio Labs comenzó buscando en Telegram páginas fraudulentas o de phishing que pudieran utilizar como página de destino de su ataque de phishing. Las páginas que encontraron en Telegram incorporaban técnicas de antidetección y ofuscación de código, además de otras técnicas opcionales, como la autenticación multifactorial (MFA) y el bypass. El precio de estas páginas oscilaba entre unos 10 dólares por una página sencilla y 800 dólares o más por aquellas en las que se aplicaban técnicas avanzadas.
Tras encontrar una página, se pusieron en contacto con el vendedor y negociaron el precio hasta bajarlo a 30 dólares. A continuación, tenían que encontrar un lugar donde alojar la página. Empezaron de forma sencilla y decidieron utilizar una muestra gratuita de un «web shell» de un sitio de WordPress comprometido al azar que encontraron en uno de los grupos públicos. Para garantizar la persistencia, sustituyeron el shell web por un archivo propio protegido con contraseña. A continuación, publicaron su página.
Propagación/mensajería
Una vez creada su página web de phishing, tenían que enviar los correos electrónicos de phishing correspondientes. Muchos de los métodos para hacerlo resultan bastante costosos. Decidieron recurrir a un método de envío de correo electrónico en PHP, ya que tenían a su disposición una amplia variedad de ejemplos gratuitos. Consiguieron encontrar muestras que no se habían utilizado anteriormente y que, por lo tanto, no figuraban en la lista negra. Descubrieron que podían enviar unas 25,000 correos electrónicos por cada muestra gratuita.
Al disponer de entre tres y cuatro cuentas de correo, podrían llegar a enviar aproximadamente 100,000 correos electrónicos de phishing. A continuación, tuvieron que decidir qué contenido debían incluir los correos electrónicos para eludir los filtros antispam y conseguir que los destinatarios hicieran clic en el enlace.
Clientes potenciales
Una vez que tuvieron lista su página de phishing y su correo electrónico de phishing, tenían que decidir a quién enviar los correos electrónicos. Las listas de direcciones de correo electrónico activas se denominan «clientes potenciales». Estos datos de contacto están disponibles de forma gratuita en ocasiones, pero su precio variará en función del nivel de detalle de la información. Consiguieron hacerse con una lista de 100,000 clientes del Bank of America por tan solo 200 dólares a través de Telegram.
Simulación de ingresos
Guardio Labs partió de varias hipótesis para elaborar la representación que se muestra a continuación. Supusieron que, de un total de 100,000 correos electrónicos, obtendrían las credenciales de 50 personas.
En teoría, estos datos bancarios podrían venderse posteriormente en el ecosistema de la ciberdelincuencia a cambio de una suma de dinero. Partiendo de hipótesis adicionales sobre el precio al que podrían venderlos, estiman que una estafa de phishing similar podría reportar más de 2,000 dólares con un gasto inicial de tan solo 230 dólares.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Guardio Labs explica con gran claridad lo sencillo que resulta para los ciberdelincuentes, independientemente de su nivel de sofisticación, llevar a cabo campañas de phishing. Su investigación demuestra, además, que incluso los kits de phishing más básicos pueden reportar beneficios a los ciberdelincuentes, lo que lleva a preguntarse cuánto ganan realmente los autores de estas amenazas con algunos de los kits de phishing más sofisticados que existen.
Quizá lo más interesante de la evolución del ecosistema del phishing es que todo lo necesario para llevar a cabo un ataque está ahora a disposición del público, cuando antes se ocultaba tras foros de la dark web a los que solo se podía acceder por invitación.
3. BianLian se dirige a múltiples sectores
Palo Alto está realizando un seguimiento de un grupo conocido como BianLian, que se ha mantenido entre los 10 grupos de ransomware más activos según , según los datos recopilados de sitios web de filtraciones.
Su investigación reveló la existencia de una pequeña herramienta personalizada que también utiliza el grupo de ransomware Makop, lo que apunta a una posible conexión entre ambas operaciones.
¿Qué es BianLian?
BianLian surgió en el año 2022 y, casi cada semana, da a conocer nuevas víctimas en su página web dedicada a la filtración de datos.
El grupo suele centrarse en los sectores de la sanidad, la industria manufacturera, los servicios profesionales y los servicios jurídicos en Norteamérica, la Unión Europea y la India. BianLian ha pasado recientemente de la doble extorsión a la extorsión sin cifrado.
Se cree que la operación se está expandiendo activamente, según se desprende de la página web de filtraciones del grupo, que indica que están contratando a nuevos desarrolladores y afiliados.
La posible relación de BianLian con Makop
Palo Alto ha detectado un pequeño ejecutable personalizado de .NET durante este análisis. Este ejecutable se encuentra en común tanto en el grupo de ransomware BianLian como en el de Makop, los cuales también utilizaron el mismo hash de la herramienta Advanced Port Scanner, disponible públicamente.
Este ejecutable personalizado recuperará datos de enumeración de archivos, del Registro y del portapapeles, y contendrá algunas palabras en ruso. Aunque aún no se ha confirmado la razón de este solapamiento, sí indica que los grupos podrían compartir un conjunto de herramientas o recurrir a los servicios de los mismos desarrolladores.
Análisis técnico
- Palo Alto ha asignado las distintas fases de los ataques al marco MITRE ATT&CK « » (). Para obtener acceso inicial, los operadores de ransomware suelen utilizar credenciales RDP sustraídas, aprovechar la vulnerabilidad de ProxyShell, atacar a proveedores de VPN o emplear otras técnicas ya descritas, como el despliegue de shells web. Para la extracción de credenciales, el grupo extrae el subárbol del Registro SAM a un archivo temporal.
- A medida que avanza por la cadena de ataque hasta llegar a la persistencia, BianLian instala su componente DLL de puerta trasera y lo ejecuta mediante una tarea programada creada por Impacket. La tarea programada ejecutará periódicamente el archivo DLL de la puerta trasera.
- La operación utiliza el mismo archivo «Advanced Port Scanner» que la operación del ransomware Makop emplea para el reconocimiento. A continuación, BianLian utilizará dos componentes principales para las cargas útiles finales —un cifrador y una puerta trasera— antes de mostrar su nota de rescate. La puerta trasera funciona más como un cargador que como una puerta trasera tradicional y se encarga de descargar y ejecutar cargas útiles adicionales.
- A principios de 2023 se publicó un descifrador para el cifrador de BianLian. Esto obligó al grupo a suspender la mayor parte de su actividad de cifrado y es la razón principal por la que ha pasado a dedicarse a la extorsión sin cifrado.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Aunque no se habla tanto de BianLian como de operaciones de ransomware como , LockBit o BlackCat, sigue siendo una amenaza importante.
La operación se ha mantenido constante desde su aparición y ha reaccionado con rapidez ante la publicación de un descifrador, modificando toda su estructura operativa en consecuencia.
Aparte de su capacidad de adaptación, la posible coincidencia con otra operación de ransomware —aunque no se haya confirmado— es un aspecto al que hay que prestar atención.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
