El primero en el último CTI Roundup es un vistazo al resurgimiento del conocido malware Emotet y su botnet después de su 2021 interrupción en manos de las fuerzas de seguridad internacionales. A continuación, investigamos las diversas formas en que los operadores de malware IcedID están experimentando con tácticas de entrega. Finalmente, terminamos las cosas con un resumen de los informes recientes de Cisco Talos, que detalla el descubrimiento de un nuevo marco de ataque que presenta la herramienta Alchimist C2 y el nuevo malware de Insekt.
1. El malware de Emotet vuelve a ser el centro de atención
Un nuevo informe de VMware alega que los actores de amenazas detrás de la botnet de entrega de malware de Emotet han reiniciado la notoria oferta de malware como servicio (MaaS) y la han equipado con capacidades avanzadas de evasión y otras características.
El resurgimiento del malware, que los investigadores observaron a partir de enero de 2022 después del derribo coordinado de Emotet a principios de 2021 a manos de las fuerzas de seguridad internacionales, señala su regreso al panorama en forma de una amenaza global persistente, armado con las lecciones aprendidas de su batalla con las autoridades.
Entre otras conclusiones notables, la investigación de VMware destaca las mejoras tecnológicas de Emotet tras su período de inactividad forzada. Esos incluyen:
- Mejor infraestructura
- Mejores contramedidas antianálisis
- Capacidad de respaldar varios objetivos de ataque
- Patrones de ataque en constante evolución
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Ha pasado un tiempo desde que Emotet llegó a los titulares. Aunque la mayor parte de la actividad analizada por la Unidad de Análisis de Amenazas de VMware se observó a principios de 2022, la importancia del resurgimiento de Emotet no debe subestimarse. Si el ensamblaje de un grupo de trabajo internacional compuesto por múltiples agencias globales de aplicación de la ley con el objetivo singular de eliminar a Emotet y su botnet no era evidencia de su estado como ciberamenaza mundial, el hecho de que sobrevivió a los esfuerzos del grupo de trabajo y volvió más fuerte, y más evasivo que nunca, seguramente lo es”.
“La cuenta de Twitter de ESET Research publicó recientemente un subproceso en el que su autor reconoció que el tuit representaba la primera actualización de Emotet de la firma después de tres meses de inactividad. El subprocesocontiene nuevos indicadores de compromiso para uno de los módulos actualizados de Emotet. No está claro si Emotet ha estado inactivo durante el tiempo que la industria parece pensar. Es posible que sus operadores no hayan estado lanzando ataques constantes, aunque con tantos avances en sus capacidades evasivas, lo más probable es que estuvieran ocupados actualizando su producto”.
#BREAKING Otro día en #ESETresearch, otra campaña #Emotet con una nueva técnica. En lugar de las macros normales de Office, los operadores utilizan PowerShell en los archivos adjuntos LNK - nombre de archivo “form.lnk”. Si la víctima ejecuta el archivo, se descarga y ejecuta Emotet binary (.DLL). 1/4 pic.twitter.com/iLzFl5t8M5
— Investigación de ESET (@ESETresearch) April 26, 2022
2. Los hackers detrás de los ataques de malware de IcedID diversifican las tácticas de entrega
Según el equipo de Cymru, los actores de amenazas detrás de las campañas de phishing de malware de IcedID ahora están aprovechando una amplia gama de métodos de distribución.
Se han observado varias campañas recientes de IcedID utilizando vías de infección ligeramente diferentes, que los investigadores creen que es el intento de los actores de amenazas de determinar qué método funciona mejor contra diferentes objetivos.
¿Qué es la familia de malware IcedID?
El malware IcedID, también conocido como BokBot, se observó por primera vez a principios de 2017 como un simple troyano bancario. El malware evolucionó posteriormente, como lo hace este malware a menudo, para incluir capacidades de eliminación de malware que le permiten descargar e implementar cargas útiles maliciosas adicionales. IcedID generalmente se entrega a través de campañas de phishing o se elimina como una carga útil secundaria por otro malware, especialmente Emotet.
Las campañas recientes de IcedID aprovechan una variedad de diferentes tipos de celos y procesos de ejecución. Los investigadores del equipo de Cymru compararon las diferentes campañas (todas de septiembre de 2022) en un intento por comprender qué métricas los actores de amenazas pueden estar tratando de recopilarse, es decir, qué métodos tienen el mayor retorno o funcionan mejor en cada campaña.
¿Cómo se entrega el malware IcedID?
De las campañas analizadas en September 2022, se observaron varios métodos de entrega de malware diferentes, incluidos los siguientes:
- ZIP protegido con contraseña con LNK
- ZIP protegido con contraseña sin LNK
- Maldoc
- Carga privada
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“El equipo Cymru observó que las campañas contenían muchos errores gramaticales, lo que ha dado como resultado menos víctimas. Esta observación sirve como evidencia adicional del valor proporcionado por los sólidos programas de capacitación y concientización sobre phishing que enseñan a los usuarios a reconocer tales indicadores de inautenticidad en los correos electrónicos, lo que demuestra que ese conocimiento puede hacer que los destinatarios sean mucho menos propensos a caer en las campañas de phishing”.
“La otra parte de esto es que los actores de amenazas también se dan cuenta de lo mismo, por lo que la decisión entre muchos de los actores de amenazas más avanzados de diversificar los métodos de entrega en un corto tiempo y evaluar la efectividad de cada uno”.
“Los investigadores creen que el archivo zip-archivo-to-iso-archivo-to-lnk fue el método de entrega más exitoso probado por los perpetradores. ¿Es este el método en el que los actores de amenazas ahora confiarán más para entregar malware IcedID en el futuro? Tal vez. O tal vez probarán algo completamente diferente para atrapar a los investigadores y profesionales de seguridad desprevenidos. El tiempo lo dirá, pero el último escenario que pase no sería sorprendente”.
“La única pregunta que queda por hacer es esta: ¿qué aprenderemos de esto y cómo lo usaremos?”
3. El nuevo marco de ataque de Alchimist se dirige a Windows, macOS y Linux
Un informe reciente de Cisco Talos detalla el descubrimiento de un nuevo marco de ataque, incluida una herramienta de comando y control (C2) llamada Alchimist y un nuevo malware llamado Insekt.
El marco todo incluido se utiliza activamente en ataques dirigidos a sistemas Windows, macOS y Linux. Este descubrimiento ocurre solo unos meses después del descubrimiento del marco de Manjusaka, que los investigadores señalaron que es similar a Alchimist.
¿Qué es Alchimist?
Alchimist es un ejecutable Linux de 64 bits escrito en el siempre popular GoLang. Alchimist C2 tiene una interfaz web escrita en chino simplificado y puede generar una carga útil configurada, establecer sesiones remotas, implementar cargas útiles en las máquinas remotas, capturar capturas de pantalla, realizar la ejecución remota de códigos shell y ejecutar comandos arbitrarios.
Acerca del implante Insekt
Insekt es un implante de 64 bits escrito en GoLang que se compila para entornos Windows y Linux con muchas capacidades RAT, todas las cuales están dirigidas a ser ejecutadas por el servidor Alchimist C2 . El implante configura múltiples controladores para siete capacidades principales:
- Obtenga tamaños de archivo.
- Obtener información del SO.
- Ejecute comandos arbitrarios a través de cmd[.]exe.
- Actualice el implante Insekt actual.
- Ejecute comandos arbitrarios como un usuario diferente.
- Duerma durante períodos definidos por el C2.
- Iniciar/dejar de tomar capturas de pantalla.
Insekt tiene otras funciones, como shellcode execution, puerto y escaneo IP, manipulación de claves SSH, proxy, etc. La variante Linux de Insekt tiene la función de enumerar los contenidos del directorio “.ssh” en el directorio de inicio de la víctima y agrega nuevas claves SSH para que el atacante pueda comunicarse con el equipo de la víctima desde el C2 a través de SSH. Insekt incluye un módulo que puede implementar los diferentes comandos que pueden emitir los operarios y un módulo que puede realizar medidas RAT específicas en el endpoint infectado.
Herramientas adicionales a tener en cuenta
Cisco Talos destacó otras herramientas para la elevación de privilegios y la eventual explotación de plataformas MacOSX. Dos del código fuente de las herramientas se pueden encontrar en GitHub, incluido el proxy inverso rápido (frp) que se utiliza para la exfiltración de datos y Fscan, que es una herramienta de escaneo de intranet.
- Explotación de MacOSX: El archivo Mach-O descubierto en el directorio abierto es otro ejecutable de GoLang que está integrado con un exploit y una puerta trasera de shell de enlace. El dropper tiene un exploit para la derivación de privilegios en la utilidad pkexec de polkit. Sin embargo, esta utilidad no está instalada en MacOSX de manera predeterminada, lo que significa que el escalamiento de privilegios no es una garantía.
- Scriptlet: Alchimist también puede generar scripts para usar en la primera etapa de infecciones. Un script encontrado por los investigadores se denominó “down[.]sct” que descarga el implante Insekt desde una dirección URL en particular.
- Shellcode: Los investigadores descubrieron un código shell meterpreter en un archivo con el nombre “shell[.]msi”. Tiene la configuración maliciosa que contiene los datos del host y el puerto para que el shell code se conecte a una dirección IP específica.
Alchimist comparte similitudes con Manjusaka, otro marco de ataque
Cisco Talos descubrió un servidor C2 independiente, que los autores llaman Alchimist, y sus correspondientes implantes que los autores llaman la familia RAT de Insekt. Hace solo unos meses, Cisco Talos descubrió otro marco independiente llamado Manjusaka. Ambos marcos, aunque se implementan de maneras separadas, siguen la misma filosofía de diseño general y parecen tener la misma lista de requisitos. Los marcos se han diseñado e implementado para operar como ejecutables independientes basados en GoLang que se pueden distribuir con relativa facilidad, ambos aprovechan una interfaz web china simplificada y ambos mencionan el protocolo poco común SNI.
Las mayores diferencias entre Manjusaka y Alchimist están en el enfoque adoptado para implementar la interfaz de usuario web y la forma en que implementan la función de un solo archivo. Los desarrolladores de Manjusaka aprovechan el marco web de Gin y utilizan Packr, un marco de agrupación de activos, para incorporar y almacenar los implantes. Los autores de Alchimist adoptaron un enfoque más básico, utilizando solo las características básicas de GoLang para implementar las mismas características.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
“Las muchas similitudes entre Manjusaka y Alchimist junto con la breve cantidad de tiempo entre la aparición de cada marco pueden señalar una nueva tendencia, que es el uso de marcos C2 integrales o listos para usar”.
“Estos marcos son atractivos para los ciberdelincuentes debido a su capacidad de utilizarse para una amplia variedad de funciones, incluida la administración remota y el comando y control”.
“Cisco Talos lo resume muy bien: ‘Un actor de amenazas que obtiene acceso privilegiado a shell en la máquina de una víctima es como tener una navaja suiza, lo que permite la ejecución de comandos arbitrarios o códigos shell en el entorno de la víctima, lo que resulta en efectos significativos en la organización objetivo”.
“La evidencia del atractivo para los actores de amenazas de tales marcos todo incluido podría verse en varios informes publicados durante la última semana aproximadamente. CTI también cubrió una historia de Trend Micro que describe cómo QAKBOT, un cargador/gotero de malware eficaz, ha comenzado a facilitar la entrega de cargas útiles de segunda etapa como Brute Ratel, un marco de emulación de adversarios disponible comercialmente y la ubicua Huelga de cobalto, un marco más establecido, todo en apoyo de la eventual implementación del ransomware Black Basta”.
“Como las diversas versiones filtradas de Cobalt Strike inevitablemente han llevado a campañas menos fructíferas (una alta tasa de cobertura de detección para Cobalt Strike es el resultado inevitable de que una herramienta sobreutilizada y publicitada sea aprovechada repetidamente por los actores de amenazas), los atacantes han comenzado a recurrir a marcos más nuevos con mayores capacidades. Los recién llegados como Alchimist y Brute Ratel se están volviendo opciones cada vez más atractivas para usar en ataques en los que los actores de amenazas buscan permanecer sin ser detectados durante períodos más largos. Esperamos ver que dichos marcos continúen tomando una mayor parte del mercado de marcos de emulación C2/adversary”.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium para iniciar una conversación.
Para obtener más información, póngase al día con nuestros recientes redondeos de inteligencia sobre amenazas cibernéticas.
