En primer lugar, en el último resumen de CTI, analizamos el resurgimiento del famoso malware Emotet y su red de bots tras su 2021 .ª desarticulación a manos de las fuerzas del orden internacionales. A continuación, analizamos las distintas formas en que los operadores del malware IcedID están probando nuevas tácticas de distribución. Por último, concluimos con un resumen de un informe reciente de Cisco Talos, en el que se detalla el descubrimiento de un nuevo marco de ataque que incluye la herramienta Alchimist C2 y el nuevo malware Insekt.
1. El malware Emotet vuelve a ser noticia
Un nuevo informe de VMware afirma que los autores de las amenazas responsables de la red de bots , utilizada para distribuir el malware Emotet ( ), han relanzado su conocida oferta de «malware como servicio» (MaaS) y la han dotado de capacidades avanzadas de evasión y otras funciones.
El resurgimiento del malware, que los investigadores observaron a partir de enero de 2022 tras la operación coordinada para desmantelar Emotet a principios de 2021 por parte de las fuerzas del orden internacionales, indica su regreso al panorama como una amenaza global persistente, fortalecida por las lecciones aprendidas de su enfrentamiento con las autoridades.
Entre otras conclusiones destacadas, el estudio de VMware pone de relieve las mejoras tecnológicas de Emotet tras su periodo de inactividad forzada. Entre ellos se encuentran:
- Mejores infraestructuras
- Mejores medidas de protección contra el análisis
- Capacidad para dar apoyo a diversos objetivos de ataque
- Patrones de ataque en constante evolución
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Hace ya un tiempo que Emotet dejó de ser noticia». Aunque la mayor parte de la actividad analizada por la Unidad de Análisis de Amenazas de VMware se observó a partir de principios de 2022, no debe subestimarse la importancia del resurgimiento de Emotet. «Si la creación de un grupo de trabajo internacional formado por múltiples organismos policiales de todo el mundo, con el único objetivo de acabar con Emotet y su red de bots, no era prueba suficiente de su condición de amenaza cibernética mundial, el hecho de que haya sobrevivido a los esfuerzos de dicho grupo de trabajo y haya resurgido con más fuerza —y más evasivo que nunca— sin duda lo es».
«La cuenta de Twitter de ESET Research publicó recientemente un hilo en el que su autor reconocía que el tuit constituía la primera actualización de la empresa sobre Emotet tras tres meses de inactividad». El hilo contiene nuevos indicadores de compromiso relacionados con uno de los módulos actualizados de Emotet. No está claro si Emotet ha estado inactivo durante tanto tiempo como parece creer el sector. «Es posible que sus operadores no estuvieran lanzando ataques constantes, aunque, dados los numerosos avances en sus capacidades de evasión, lo más probable es que estuvieran ocupados actualizando su producto».
#ÚLTIMAHORA Otro día más en #ESETresearch, otro #Emotet campaña con una nueva técnica. En lugar de las macros habituales de Office, los operadores utilizan PowerShell en archivos adjuntos LNK, con el nombre de archivo «form.lnk». Si la víctima ejecuta el archivo, se descarga y se ejecuta el binario de Emotet (.DLL). 1/4
2. Los piratas informáticos responsables de los ataques con el malware IcedID diversifican sus tácticas de distribución
Según Team Cymru, los autores de las campañas de phishing con el malware IcedID de están utilizando actualmente una amplia variedad de métodos de distribución.
Se han observado varias campañas recientes de IcedID que utilizan vías de infección ligeramente diferentes, lo que, según los investigadores, constituye un intento por parte de los autores de la amenaza de determinar qué método funciona mejor contra los distintos objetivos.
¿En qué consiste la familia de malware IcedID?
El malware IcedID, también conocido como BokBot, se detectó por primera vez a principios de 2017 como un sencillo troyano bancario. Posteriormente, el malware evolucionó —como suele ocurrir con este tipo de programas— para incorporar capacidades de «malware dropping» que le permiten descargar e instalar cargas maliciosas adicionales. IcedID suele propagarse a través de campañas de phishing de tipo « » o bien se introduce como carga útil secundaria por medio de otro malware, sobre todo Emotet.
Las campañas recientes de IcedID utilizan una variedad de tipos de señuelos y procesos de ejecución distintos. Los investigadores de Team Cymru compararon las distintas campañas (todas ellas de septiembre de 2022) con el fin de comprender qué métricas podrían estar tratando de recopilar los autores de las amenazas —es decir, qué métodos ofrecen un mayor rendimiento o funcionan mejor en cada campaña—.
¿Cómo se propaga el malware IcedID?
De las campañas analizadas en « September 2022», se observaron varios métodos distintos de distribución de malware, entre los que se incluyen:
- Archivo ZIP protegido con contraseña que contiene un archivo LNK
- Archivo ZIP protegido con contraseña sin archivo LNK
- Maldoc
- PrivateLoader
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Team Cymru observó que las campañas contenían numerosos errores gramaticales, lo que ha dado lugar a un menor número de víctimas. Esta observación constituye una prueba más del valor que aportan los programas sólidos de formación y sensibilización sobre el phishing, que enseñan a los usuarios a reconocer dichos indicadores de falta de autenticidad en los correos electrónicos, lo que demuestra que dichos conocimientos pueden hacer que los destinatarios sean mucho menos propensos a caer en las campañas de phishing».
«La otra cara de la moneda es que los autores de las amenazas también son conscientes de ello, de ahí la decisión —entre muchos de los autores de amenazas más avanzados— de diversificar los métodos de distribución en un breve plazo de tiempo y evaluar la eficacia de cada uno de ellos».
«Los investigadores consideran que la secuencia «archivo zip → archivo iso → archivo lnk» fue el método de distribución más eficaz probado por los autores de la amenaza». ¿Es este el método al que recurrirán ahora con mayor frecuencia los autores de las amenazas para distribuir el malware IcedID en el futuro? Quizás. O quizá intenten algo totalmente diferente para pillar desprevenidos a los investigadores y a los profesionales de la seguridad. El tiempo lo dirá, pero no sería de extrañar que se diera este último escenario.
«La única pregunta que queda por plantear es la siguiente: ¿qué aprenderemos de todo esto y cómo lo aprovecharemos?»
3. El nuevo marco de ataque «Alchimist» tiene como objetivo Windows, macOS y Linux
Un informe reciente de Cisco Talos detalla el descubrimiento de un nuevo marco de ataque, que incluye una herramienta de comando y control de tipo « » (C2) denominada Alchimist y un nuevo malware llamado Insekt.
El marco «todo incluido» se está utilizando de forma activa en ataques dirigidos contra sistemas Windows, macOS y Linux. Este descubrimiento se produce tan solo unos meses después del descubrimiento del marco Manjusaka, que, según han señalado los investigadores, es similar a Alchimist.
¿Qué es Alchimist?
Alchimist es un ejecutable de Linux de 64 bits escrito en el siempre popular GoLang. Alchimist C2 cuenta con una interfaz web redactada en chino simplificado y puede generar una carga útil configurada, establecer sesiones remotas, implementar cargas útiles en los equipos remotos, capturar capturas de pantalla, ejecutar código shell de forma remota y ejecutar comandos arbitrarios.
Acerca del implante Insekt
Insekt es un implante de 64 bits escrito en GoLang que se compila para entornos Windows y Linux y que cuenta con numerosas capacidades RAT, todas ellas dirigidas a ejecutarse desde el servidor Alchimist C2 . El implante configura varios controladores para siete funciones principales:
- Obtenga el tamaño de los archivos.
- Obtenga información sobre el sistema operativo.
- Ejecute comandos arbitrarios mediante cmd[.]exe.
- Actualice el implante Insekt actual.
- Ejecutar comandos arbitrarios como otro usuario.
- Dormir durante los periodos de tiempo establecidos por la norma C2.
- Activar o desactivar la función de captura de pantalla.
Insekt cuenta con otras capacidades, como la ejecución de código shell, el escaneo de puertos e direcciones IP, la manipulación de claves SSH, el uso de un servidor proxy para las conexiones, etc. La variante para Linux de Insekt permite enumerar el contenido del directorio «.ssh» situado en el directorio de inicio de la víctima y añade nuevas claves SSH para que el atacante pueda comunicarse con el equipo de la víctima desde el C2 a través de SSH. Insekt incluye un módulo capaz de ejecutar los distintos comandos que pueden enviar los operadores y otro módulo capaz de llevar a cabo acciones específicas propias de un RAT en el terminal infectado.
Otras herramientas que conviene conocer
Cisco Talos ha destacado otras herramientas destinadas a la elevación de privilegios y a la posterior explotación de las plataformas macOS. El código fuente de dos de estas herramientas se puede consultar en GitHub, entre ellas Fast reverse proxy (frp), que se utiliza para la exfiltración de datos, y Fscan, que es una herramienta de análisis de intranets.
- Vulnerabilidad en macOSX: El archivo Mach-O descubierto en el directorio abierto es otro ejecutable de GoLang que contiene un exploit y una puerta trasera de tipo «bind shell». El programa de instalación contiene una vulnerabilidad que permite la escalada de privilegios en la utilidad «pkexec» de Polkit. Sin embargo, esta utilidad no viene instalada de forma predeterminada en macOSX, lo que significa que la escalada de privilegios no está garantizada.
- Scriptlet: Alchimist también puede generar scripts para su uso en la primera fase de las infecciones. Uno de los scripts detectados por los investigadores se denominaba «down[.]sct» y descargaba el implante Insekt desde una URL concreta.
- Código de shell: Unos investigadores descubrieron un código de shell de Meterpreter en un archivo denominado «shell[.]msi». Contiene la configuración maliciosa con los datos del servidor y del puerto necesarios para que el código shell se conecte a una dirección IP concreta.
Alchimist presenta similitudes con Manjusaka, otro marco de trabajo de ataque
Cisco Talos ha descubierto un servidor independiente C2 , al que los autores denominan «Alchimist», así como sus implantes correspondientes, a los que los autores denominan la familia «Insekt RAT». Y hace apenas unos meses, Cisco Talos descubrió otro marco autónomo denominado Manjusaka. Ambos marcos, aunque se hayan implementado de forma distinta, siguen la misma filosofía de diseño general y parecen cumplir los mismos requisitos. Estos marcos se han diseñado e implementado para funcionar como ejecutables independientes basados en GoLang que pueden distribuirse con relativa facilidad; ambos utilizan una interfaz web en chino simplificado y ambos hacen referencia al protocolo poco habitual « » (SNI).
Las principales diferencias entre Manjusaka y Alchimist residen en el enfoque adoptado para implementar la interfaz de usuario web y en la forma en que implementan la función de «archivo único». Los desarrolladores de Manjusaka aprovechan el marco web Gin y utilizan packr, un marco de agrupación de recursos, para integrar y almacenar los implantes. Los autores de Alchimist adoptaron un enfoque más sencillo, utilizando únicamente las funciones básicas de GoLang para implementar las mismas características.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Las numerosas similitudes entre Manjusaka y Alchimist, junto con el breve lapso de tiempo transcurrido entre la aparición de cada uno de estos marcos, podrían indicar una nueva tendencia: el uso de marcos C2 integrales o listos para usar».
«Estos marcos resultan atractivos para los ciberdelincuentes debido a su capacidad para utilizarse en una amplia variedad de funciones, entre las que se incluyen tanto la administración remota como el mando y control».
«Cisco Talos lo resume muy bien: “El hecho de que un actor malintencionado obtenga acceso privilegiado al shell en el equipo de una víctima es como disponer de una navaja suiza, ya que le permite ejecutar comandos o códigos de shell arbitrarios en el entorno de la víctima, lo que tiene consecuencias significativas para la organización objetivo”».
«Las pruebas del atractivo que estos marcos integrales tienen para los autores de amenazas pueden observarse en diversos informes publicados a lo largo de la última semana aproximadamente». CTI también se hizo eco de un artículo de Trend Micro publicado en ( ) en el que se describe cómo QAKBOT —un eficaz cargador/distribuidor de malware— ha comenzado a facilitar la entrega de cargas útiles de segunda fase, como Brute Ratel, un marco de emulación de adversarios disponible en el mercado, y el omnipresente Cobalt Strike, un marco más consolidado, todo ello con el fin de facilitar el posterior despliegue del ransomware Black Basta.
«Dado que las diversas versiones filtradas de Cobalt Strike han dado lugar, inevitablemente, a campañas menos eficaces —una elevada tasa de detección de Cobalt Strike es el resultado inevitable de que una herramienta sobreutilizada y excesivamente publicitada sea empleada repetidamente por los actores maliciosos—, los atacantes han comenzado a recurrir a marcos de trabajo más recientes con mayores capacidades. Las nuevas herramientas, como Alchimist y Brute Ratel, se están convirtiendo en opciones cada vez más atractivas para su uso en ataques en los que los autores de las amenazas pretenden pasar desapercibidos durante períodos de tiempo más prolongados. «Prevemos que estos marcos sigan ganando cuota en el mercado de los marcos de emulación C2/adversario».
¿Tiene alguna información sobre estas historias que desee compartir? Visite el foro de debate de Tanium, , para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes sobre inteligencia en materia de ciberamenazas.
