En el resumen de esta semana, CTI ofrece información actualizada sobre la Sección de Ciberseguridad de la Seguridad Nacional (NatSec Cyber), una nueva sección dedicada a los litigios dentro de la División de Seguridad Nacional del Departamento de Justicia de los Estados Unidos. A continuación, CTI analiza cómo los ciberdelincuentes están aprovechando los buckets S3 caducados de Amazon Web Services (AWS) para distribuir código malicioso. CTI también analiza la campaña de ciberespionaje «RedClouds», que utiliza un malware RDStealer personalizado diseñado para sustraer datos de unidades compartidas a través de conexiones de escritorio remoto.
1. El Departamento de Justicia pone en marcha una unidad cibernética para perseguir a los actores maliciosos vinculados a Estados-nación
El Departamento de Justicia ha creado recientemente una nueva sección dedicada a los litigios con el fin de aumentar su capacidad para detectar y neutralizar los ciberataques maliciosos que amenazan la seguridad nacional. NatSec Cyber también permite a la División de Seguridad Nacional (NSD) perseguir a los actores que representan una amenaza por parte de Estados-nación con mayor rapidez y eficacia.
El anuncio se produjo en el marco de un comunicado de prensa del Departamento de Justicia ( ), en el que se describía la creación de la unidad cibernética como una respuesta directa a las principales conclusiones recogidas en el informe «» (Revisión cibernética exhaustiva), elaborado por la fiscal general adjunta Lisa O. Monaco, publicado en July 2022.
De un artículo de SecurityWeek que aborda este tema:
A la hora de hacer frente a las crecientes amenazas procedentes de atacantes vinculados a Estados-nación, la Unidad de Ciberseguridad Nacional (NatSec Cyber) también reforzará la colaboración intragubernamental entre la Sección de Delitos Informáticos y Propiedad Intelectual (CCIPS) de la División Penal y la División Cibernética del FBI.
Interrupción, rendición de cuentas y disuasión
Tal y como explica el Departamento de Justicia en su informe sobre ciberseguridad, las amenazas en el ciberespacio están evolucionando a una velocidad sin precedentes. Para frustrar los ataques y exigir responsabilidades a los autores de las amenazas, el departamento debe actuar con mayor agilidad. La puesta en marcha de NatSec Cyber constituye la última medida adoptada por el Gobierno federal de los Estados Unidos para reforzar y ampliar sus esfuerzos frente a las amenazas cibernéticas en constante evolución.
Entre otras unidades e iniciativas de apoyo se incluyen:
- Creación del Equipo Nacional de Control de las Criptomonedas (NCET) dentro de la División Penal del Ministerio, cuyo objetivo es combatir los usos ilícitos de las criptomonedas.
- Puesta en marcha de la Iniciativa contra el Fraude Cibernético en el Ámbito Civil (CCFI) por parte de la División Civil del Ministerio. La CCFI hace uso de las facultades que le confiere al departamento la Ley de Reclamaciones Falsas para interponer acciones civiles contra los beneficiarios de subvenciones y los contratistas del Gobierno —incluidos aquellos que tienen contratos con el Ministerio de Justicia— que incumplan sus obligaciones en materia de ciberseguridad.
- Crear una nueva beca especializada en ciberdelincuencia dentro del Departamento, con el fin de formar a una nueva generación de fiscales y abogados capacitados para hacer frente a los nuevos delitos cibernéticos y a las amenazas a la seguridad nacional de carácter cibernético.
- Se están implantando medidas adicionales de ciberseguridad para mejorar la seguridad del correo electrónico del departamento. Entre estas medidas se incluían la formación obligatoria en cifrado para el personal del departamento y medidas técnicas adicionales para protegerse contra el phishing y otras técnicas similares.
El motivo que ha impulsado la creación de esta nueva unidad cibernética federal se explica claramente en el comunicado de prensa del Departamento de Justicia:
La Sección de Ciberseguridad de Seguridad Nacional aumentará la capacidad del Ministerio de Justicia para desarticular y responder a actividades cibernéticas maliciosas, al tiempo que fomentará las colaboraciones a nivel ministerial e intergubernamentales para hacer frente a las amenazas cibernéticas cada vez más sofisticadas y agresivas por parte de adversarios estatales hostiles. La Sección reforzará la colaboración entre socios clave, en particular la Sección de Delitos Informáticos y Propiedad Intelectual (CCIPS) de la División Penal y la División Cibernética del FBI, y servirá como un valioso recurso para los fiscales de las 94 fiscalías federales y las 56 oficinas locales del FBI repartidas por todo el país.
«Hacer frente a amenazas cibernéticas de gran complejidad técnica suele requerir una cantidad considerable de tiempo y recursos», afirmó el fiscal general adjunto Olsen. «NatSec Cyber actuará como una incubadora, capaz de dedicar tiempo y recursos a la labor de investigación compleja y que requiere mucho tiempo en los casos que se encuentran en una fase inicial.
La creación de NatSec Cyber se produce tras los recientes éxitos, ampliamente difundidos, en la «identificación, gestión y eliminación de amenazas cibernéticas para la seguridad nacional, entre los que se incluyen la imputación de (se abre en una nueva pestaña) a un presunto ciberdelincuente responsable de ataques con ransomware contra infraestructuras críticas de EE. UU. y [la] interrupción (se abre en una nueva pestaña)[de] la principal herramienta de ciberespionaje del Gobierno ruso», tal y como se cita en el comunicado de prensa del Departamento de Justicia.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Resulta alentador ver que el Gobierno federal está tomando medidas concretas para establecer una arquitectura nacional integral de ciberseguridad». Parece que el FBI y el Departamento de Justicia son conscientes de la necesidad de contar con una base jurídica que justifique las medidas policiales inusualmente enérgicas que han adoptado en los últimos meses contra algunas de las entidades mencionadas anteriormente —y, además, en territorio extranjero—.
«Ese tipo de comportamiento propio de un «sheriff del Salvaje Oeste» solo puede prolongarse durante un tiempo limitado antes de que alguna comisión de control del Congreso ponga fin a ello». Parece que el Departamento de Justicia ha dado el paso lógico y proactivo de regular la situación mediante la creación de «NatSec Cyber».
2. Los ciberdelincuentes utilizan buckets de AWS S3 caducados para distribuir código malicioso
Según Checkmarx, los ciberdelincuentes están aprovechando , unos buckets de AWS S3 caducados (se abre en una nueva pestaña) para distribuir código malicioso e inyectarlo en paquetes legítimos del repositorio de npm, sin necesidad de modificar ningún código.
Checkmarx comenzó a investigar la situación a raíz de un aviso publicado a finales del mes pasado por GitHub en relación con varias versiones de un paquete de npm denominado « » bignum (se abre en una nueva pestaña), que había sido utilizado con fines maliciosos por actores maliciosos y distribuía archivos binarios maliciosos diseñados para sustraer información confidencial de los usuarios —como identificadores de usuario, contraseñas y nombres de host locales— de los dispositivos de las víctimas.
De Checkmarx:
La última versión de «bignum», la 0.13.1, se publicó hace más de 3 años y nunca se había visto comprometida. Sin embargo, sí lo eran varias versiones anteriores. Las versiones 0.12.2-0.13.0 utilizaban archivos binarios alojados en un depósito S3 . Estos archivos binarios se extraerían del repositorio durante la instalación para garantizar el correcto funcionamiento del paquete. Hace aproximadamente 6 meses, se eliminó este bucket (las versiones que dependían de él ya casi no se utilizaban).
Esto dejó la empresa expuesta a una adquisición...
S3 objetivos: un repaso
Los S3 buckets son recursos de AWS que permiten a los usuarios almacenar y recuperar grandes cantidades de datos, incluidos archivos, documentos, vídeos y otros tipos de contenido digital. Los usuarios acceden a S3 buckets mediante direcciones URL únicas, lo que los hace útiles para una amplia variedad de fines, desde el alojamiento de sitios web y la copia de seguridad de datos hasta la distribución de datos y el archivo y almacenamiento de aplicaciones y contenidos.
Durante la fase inicial de la investigación de Checkmarx, se descubrió que el paquete «bignum» de npm utilizaba «node-gyp» para descargar un archivo binario .node durante la fase de instalación. El archivo binario en cuestión se alojaba inicialmente en un bucket de AWS S3 . Si no se pudiera acceder al repositorio, el paquete le indicaría que buscara el archivo binario en su equipo.
De Checkmarx:
Sin embargo, un atacante no identificado se percató del abandono repentino de un depósito de AWS que antes estaba activo. Al darse cuenta de la oportunidad, el agresor se apoderó del cubo abandonado. Por consiguiente, cada vez que se descargaba o se reinstalaba «bignum», los usuarios descargaban, sin saberlo, el archivo binario malicioso que había colocado el atacante.
¿Cómo fue posible esto? Si bien cada depósito de AWS S3 debe tener un nombre único a nivel mundial, dicho nombre vuelve a estar disponible una vez que se elimina el depósito. Si un paquete apunta a un depósito como origen, dicho puntero seguirá existiendo, incluso después de que se haya eliminado dicho depósito. Fue precisamente este descuido el que permitió al atacante redirigir el puntero hacia el «bucket» secuestrado.
El sistema binario falsificado y sus funciones
La naturaleza del binario malicioso —que es un binario compilado en C/C++ al que recurren las aplicaciones JavaScript— permitió que los módulos de Node.js accedieran a código de nivel inferior y, en última instancia, ampliaran la superficie de ataque.
El archivo binario .node falsificado funcionaba de manera muy similar al legítimo, con algunas funciones adicionales incorporadas. Por ejemplo, además de realizar las funciones totalmente inofensivas del binario auténtico, el binario fraudulento fue un paso más allá al sustraer credenciales y enviarlas al mismo depósito AWS S3 secuestrado al que se ha hecho referencia anteriormente. Los datos se sustrajeron mediante una solicitud HTTP GET.
Ampliando el método de comunicación del binario, una vez completadas sus funciones de recopilación de datos, este crearía un socket TCP destinado a la comunicación IPv4 y filtraría de forma encubierta los datos recopilados en forma de un agente de usuario asociado a una solicitud GET.
Se perfila una tendencia
Según todas las fuentes, esta fue la primera vez que se observó y documentó un ataque de este tipo. Los investigadores de Checkmarx llevaron a cabo una «búsqueda rápida en todo el ecosistema de código abierto», con resultados inesperados.
De Checkmarx:
Hemos detectado numerosos paquetes y repositorios que utilizan «buckets» S3 abandonados y que son vulnerables a este tipo de ataque. El impacto de este nuevo vector de ataque puede variar considerablemente. Sin embargo, el peligro que supone puede ser enorme si un atacante logra aprovecharlo en cuanto se produzca este tipo de cambio. Existe otro riesgo para las organizaciones o los desarrolladores que utilicen versiones congeladas o repositorios de artefactos, ya que seguirán accediendo al mismo depósito, que ahora ha sido secuestrado.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El descubrimiento de una nueva superficie de ataque en la cadena de suministro del software de código abierto relacionada con la apropiación de subdominios reviste gran importancia».
«Aunque últimamente se ha hablado mucho de las amenazas a las que se enfrenta la comunidad del software de código abierto, un descubrimiento como este debería servir de llamada de atención tanto para los desarrolladores como para las organizaciones para las que trabajan, y recordarles que los ciberdelincuentes seguirán ideando nuevas formas de convertir en armas el software de uso generalizado y de confianza, así como sus códigos fuente».
De Checkmarx:
Un «bucket» de alojamiento abandonado o un subdominio obsoleto no es simplemente un vestigio olvidado; en manos equivocadas, puede convertirse en un arma muy eficaz para el robo de datos y la intrusión.
3. Un nuevo malware de exfiltración ataca a las cargas de trabajo de RDP
Bitdefender ha descubierto una nueva campaña de ciberespionaje (se abre en una nueva pestaña) a la que se le ha asignado el nombre de RedClouds. Aprovecha un malware RDStealer personalizado para extraer datos de unidades compartidas a través de conexiones de escritorio remoto. La campaña maliciosa, que aún no se ha atribuido a ningún actor malicioso concreto, lleva desde el 2022 atacando sistemas en Asia Oriental.
RDStealer es un implante del lado del servidor que supervisa las conexiones entrantes del protocolo de escritorio remoto (RDP) en las que está habilitada la asignación de unidades de cliente. A continuación, estos clientes que se conectan resultan infectados con la puerta trasera Logutil —otro programa malicioso creado a medida— antes de que se produzca la sustracción de datos confidenciales.
Tanto las muestras de malware RDStealer como las de Logutil analizadas por Bitdefender están escritas en el lenguaje de programación Go. Este lenguaje está ganando popularidad debido a su sólida compatibilidad multiplataforma, lo que facilita a los autores de amenazas la creación de código malicioso capaz de ejecutarse en múltiples sistemas operativos diferentes. Al analizar los dominios relacionados con estos ataques, los investigadores observaron múltiples referencias a Linux, pero también a ESXi, lo que indica que la puerta trasera Logutil es una herramienta multiplataforma.
Análisis del ataque
Tras analizar la información de DNS pasiva, las muestras de VirusTotal y los artefactos, Bitdefender determinó que el autor de la amenaza lleva activo al menos desde el 2020. En un principio, el actor malicioso recurría a herramientas más fácilmente accesibles, como AsyncRAT y Cobalt Strike, antes de pasar a utilizar malware desarrollado a medida a finales de 2021 y principios de 2022.
El objetivo principal del ataque parece ser el robo de credenciales y la sustracción de datos. Los autores de las amenazas utilizaron carpetas en las que no suele encontrarse malware y que, por lo tanto, a menudo quedan excluidas del análisis de las herramientas de seguridad:
- %WinDir%\System32\
- %WinDir%\System32\wbem\
- %WinDir%\security\database\
- %PROGRAM_FILES%\f-secure\psb\diagnostics
- %PROGRAM_FILES_x86%\dell\commandupdate\
- %PROGRAM_FILES%\dell\md software de almacenamiento\md utilidad de configuración\
Es muy probable que el autor de la amenaza haya elegido las ubicaciones %PROGRAM_FILES% y %PROGRAM_FILES_x86% para imitar el software legítimo. También se ha detectado malware en %WinDir%\security\database, una carpeta que sirve de espacio de almacenamiento para las bases de datos de seguridad de Windows.
Microsoft ha facilitado instrucciones sobre cómo excluir, en , determinados archivos — (se abre en una nueva pestaña),y — de esta ubicación para que no sean analizados por las herramientas de seguridad de los terminales. Es posible que el autor de la amenaza viera estas recomendaciones y pensara que algunas soluciones de seguridad optarían por excluir toda la carpeta, en lugar de solo determinados archivos que contiene.
¿Qué es RDStealer?
RDStealer se especializa en la recopilación de datos mediante tácticas como la captura del contenido del portapapeles y el registro de pulsaciones de teclas. El malware también puede supervisar las conexiones RDP entrantes y comprometer un equipo remoto si la asignación de unidades de cliente (CDM) está activada.
El CDM es un canal virtual que se implementa como parte del protocolo RDP. Permite la transferencia de datos entre el cliente RDP y el servidor RDP. Se encarga específicamente de mostrar las unidades locales del equipo cliente dentro de la sesión de escritorio remoto.
Esta función permite a los usuarios acceder a archivos y transferirlos entre el equipo local y el servidor o escritorio remoto al que están conectados a través de RDP. Los administradores suelen utilizar esta función para transferir archivos. El CDM también es utilizado con frecuencia por los usuarios finales habituales para escritorios virtuales y la virtualización de aplicaciones.
Por el momento se desconocen los detalles concretos relativos al vector de infección inicial, lo que dificulta confirmar si el sistema afectado se utilizó para obtener acceso administrativo o para realizar interacciones de usuario habituales.
En los equipos afectados, se localizó RDStealer en la siguiente ruta: %PROGRAM_FILES%\dell\md storage software\md configuration utility\modular disk service daemon[.]exe.
Tras su ejecución, la función principal comienza a recopilar los datos del portapapeles y las pulsaciones de teclas del equipo anfitrión. Los datos se guardan periódicamente en el archivo de registro C:\users\public\log.log, en forma de cadenas cifradas. A continuación, se crea un bucle infinito que llamará a la función «diskMounted». Esta función comprueba periódicamente la disponibilidad de la conexión tsclient y de una de las unidades C, D, E, F, G o H. Se crean automáticamente cuando se activa el CDM.
Cuando se confirma la detección de una de estas acciones, se activan las siguientes funciones:
- C2 comunicación – notifyMaster: Esta función notifica al sistema de mando y control (C2) que hay un cliente conectado. La función realiza una solicitud GET a otro servidor que se había designado como proxy para comunicarse con la infraestructura C2 controlada por el actor malintencionado.
- Exfiltración de datos – DiskEnum: Esta función inicia la exfiltración de datos desde el cliente RDP conectado. La función busca cualquier información valiosa en el cliente RDP conectado con el fin de extraer datos.
El primer objetivo son unas cuantas carpetas concretas, lo que indica que el autor de la amenaza está buscando credenciales y conexiones guardadas a otros sistemas. Esta misma tendencia se observa en el siguiente paso, en el que se analiza el equipo de un cliente en busca de archivos con extensiones específicas en las siguientes ubicaciones: %AppData%, %LocalAppData%, Escritorio, Documentos, Descargas, %ProgramFiles% y %ProgramFiles(x86)%.
Los archivos que se encuentren se almacenan en un archivo ZIP en el servidor RDP. Tras extraer los datos de la unidad C remota, RDStealer comienza a examinar las unidades D, E, F, G y H, aunque con un enfoque ligeramente diferente. En estas unidades, comenzará a escanear todas las carpetas, salvo unas pocas excepciones. Dado que este análisis recursivo puede llevar cierto tiempo, existe un mecanismo que limita su ejecución a una sola vez por semana. El archivo «users\public\Videos\vcache.dat» se modifica una vez finalizada la exfiltración de datos, y la fecha de última modificación se compara con la hora actual para determinar si ha llegado el momento de realizar otro barrido del sistema.
- Compromiso en la fase posterior – WritePersist: Esta función instala la puerta trasera Logutil en el cliente RDP conectado. Obtiene una lista de usuarios de tsclient\c\users.
- Logutil: La puerta trasera Logutil implementa las capacidades necesarias para mantener un punto de acceso en la red. Esto incluye acciones como la descarga y la carga de archivos, así como la ejecución de comandos.
Lo que hace que esta puerta trasera resulte interesante es el grado en que aprovecha las técnicas de carga lateral de DLL, junto con el uso de WMI como desencadenante de su activación. Si bien se observaron algunas técnicas tradicionales de carga lateral de DLL, se detectó una variante más interesante que aprovechaba Winmgmt, lo que daba lugar a la ejecución del binario malicioso bithostw[.]dll. Para lograrlo, los autores de la amenaza utilizaron un cargador malicioso en la carpeta «wbem» que imitaba la biblioteca legítima «ncobjapi».
El implante puede activarse mediante el servicio WMI o a través del proceso anfitrión de WMI. Logutil puede comunicarse con la infraestructura C2 directamente o a través de otro servidor proxy de la misma red. Puede consultar la lista completa de comandos que puede recuperar del servidor C2 en el estudio de Bitdefender, disponible aquí.
Atribución
A pesar de los diversos métodos empleados por Bitdefender, no han podido atribuir estos ataques a un actor malicioso concreto. No obstante, consideran que los intereses del actor malicioso coinciden con los de China y que presenta el nivel de sofisticación propio de un APT patrocinado por un Estado.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta campaña utiliza carpetas de Microsoft Windows que podrían quedar excluidas del análisis por parte de algunos programas de seguridad. «Los autores de las amenazas utilizan deliberadamente estas carpetas para almacenar las cargas útiles de las puertas traseras, sabiendo que así podrán permanecer en la red sin ser detectados durante más tiempo».
«La investigación de Bitdefender también reveló que este actor malicioso pasó de utilizar herramientas ya existentes a crear y aprovechar malware personalizado, como RDStealer y Logutil.» «Esto pone de manifiesto la mayor sofisticación de este actor malicioso en los últimos años».
¿Tiene alguna reflexión sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
