Esta semana, CTI analiza una campaña de malware descubierta recientemente que utiliza páginas falsas de Google Sites y el «contrabando» de código HTML para distribuir el malware Azorult. A continuación, CTI presenta las conclusiones principales del informe «State of API Security» de Imperva, que analiza el panorama actual de la seguridad de las API. CTI también analiza en detalle una campaña de amenazas persistentes avanzadas (APT) que se está llevando a cabo actualmente y que tiene como objetivo a varias entidades gubernamentales de todo el mundo.
1. Los piratas informáticos difunden malware a través de páginas falsas de Google Sites
Una campaña de malware descubierta recientemente está utilizando páginas falsas de Google Sites , junto con la técnica de «contrabando de HTML», para distribuir un tipo de malware conocido como Azorult.
En esta campaña, la carga útil está incrustada en un archivo JSON independiente alojado en un servidor externo. El programa de robo de información «Azorult», que no utiliza archivos, se ejecuta posteriormente mediante la carga reflectiva de código para eludir la detección y minimizar los rastros.
Google Sites para la introducción encubierta de código HTML
Netskope ha descubierto esta actividad reciente relacionada con unas páginas falsas de Google Docs en Google Sites, que fueron utilizadas por los autores de las amenazas para introducir código HTML de forma encubierta con el fin de descargar cargas maliciosas.
El autor de esta actividad engaña a sus víctimas para que visiten páginas falsas de Google Docs y les hace descargar un archivo que creen que procede de Google Docs. En esta campaña, el autor de la amenaza incrustó la carga maliciosa en un archivo JSON, de modo que, cuando la víctima accediera al sitio web, este enviara una solicitud GET para descargar el archivo JSON.
El autor de la amenaza también utilizó CAPTCHA para eludir los escáneres de URL. Una vez que la víctima supera el CAPTCHA, el código de contrabando HTML reconstruye la carga útil y la descarga. La carga útil descargada es un archivo LNK que utiliza el icono de PDF para hacer creer a los usuarios que se trata de un archivo descargado legítimamente de Google Docs. El malware que finalmente se descarga es el malware de robo de información denominado «Azorult».
Carga del malware sin archivos Azorult
La campaña ejecuta el programa de robo de información «Azorult» en memoria mediante la carga reflectiva de código, como técnica adicional para eludir las defensas. En otras palabras, carga el código en la propia memoria de un proceso de PowerShell en ejecución y, por lo tanto, no deja tantos rastros.
Para ello, se ejecuta un script de PowerShell con el fin de eludir la AMSI, es decir, la interfaz de análisis antimalware. A continuación, se ejecuta un segundo script de PowerShell para descargar el cargador de Azorult, definir un código de shell y ejecutar una rutina que cargará tanto el código de shell como el ejecutable en la memoria del proceso.
¿Qué es el malware Azorult?
Azorult existe desde el año 2016. En primer lugar, se realiza una captura de pantalla del dispositivo y se guarda en formato JPEG. A continuación, procede a recopilar datos del navegador, incluidos los datos de inicio de sesión de Chrome, el estado local, las cookies y los datos web. También aplica la misma rutina a Firefox. El malware copia los datos de los monederos de criptomonedas antes de buscar archivos confidenciales en el escritorio. Busca extensiones de archivo específicas, como TXT, AXX, DOC, XLS, KDBX, DOCX y XLSX. Además, buscará nombres de archivos que incluyan palabras clave específicas como «copia de seguridad», «monedero», «libro mayor» y «secreto». Una vez que dispone de la información que necesita, escribe los datos en un flujo de memoria que posteriormente se transfiere al C2.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El «contrabando de HTML» es una técnica que los autores de amenazas utilizan cada vez con mayor frecuencia para distribuir malware, de ahí la dificultad para atribuir esta actividad a un autor concreto.
Tal y como señala Netskope, «a diferencia de los archivos de contrabando habituales, en los que el blob ya se encuentra dentro del código HTML, esta campaña copia una carga útil codificada desde un sitio web comprometido independiente».
Esto corrobora el hecho de que los autores de amenazas recurren cada vez más a esta técnica y, además, la modifican para eludir aún más la detección.
2. Los ciberdelincuentes se aprovechan de las API
Imperva ha publicado recientemente su informe «: State of API Security», en el que se analiza el panorama actual de la seguridad de las API a partir de los ataques dirigidos contra ellas.
Imperva ha constatado que las API se han convertido en un vector de ataque muy utilizado por los autores de amenazas, dada la vía directa que ofrecen para acceder a datos confidenciales. El informe aborda las tendencias en materia de ataques a las API, junto con recomendaciones sobre cómo mejorar el nivel de seguridad de las mismas.
Los principales vectores de API que conviene conocer
Imperva ha analizado los vectores de ataque a las API observados a lo largo del último año. La lógica de negocio encabezó la lista, representando el 27 % de todos los ataques contra las API, lo que supone un aumento del 10 % con respecto al año anterior.
Este tipo de ataque se produce cuando un actor malicioso pretende «aprovecharse de la funcionalidad prevista de una API con fines maliciosos, como la sustracción de datos confidenciales o la interrupción del funcionamiento de una aplicación de importancia crítica». Detectar el uso indebido de la lógica de negocio de las API puede resultar complicado, ya que los ataques imitan fielmente el uso legítimo.
El siguiente factor más importante, con un 19 %, son los ataques procedentes de agentes automatizados o «bots maliciosos». Imperva también analizó los principales sectores con un elevado número de llamadas a la API y, por lo tanto, con un elevado volumen de tráfico de bots. Se constató que el sector bancario y financiero representa el 31 %, seguido del comercio electrónico y el comercio minorista, con un 17.9 %, y el sector tecnológico, con un 7.1 %. Aunque no todo el tráfico generado por bots es malicioso, estos datos, junto con el número de llamadas a la API, constituyen un patrón que merece la pena analizar.
La apropiación de cuentas a través de la API es otro tipo de ataque habitual. Esto ocurre cuando un actor malintencionado aprovecha una vulnerabilidad en el proceso de autenticación de una API para obtener acceso a las cuentas de los usuarios. Imperva constató que el 45.8 % de todos los ataques que registraron tenían como objetivo puntos finales de API, lo que supone un aumento del 11 % con respecto al año anterior.
Puntos de conexión de API mal gestionados
El informe de Imperva analiza en profundidad tres tipos habituales de puntos finales de API mal gestionados que aumentan el riesgo de que se produzcan estos ataques.
- Las API «en la sombra» son API que no están documentadas o que aún no se han descubierto. Se trata, en esencia, de API que han caído en el olvido, y Imperva estima que estas representan el 4.7 % de las API activas de una organización.
- Las API obsoletas son puntos de acceso a la API que no reciben actualizaciones y son más vulnerables a los ataques.
- Los puntos finales no autenticados suelen deberse a una configuración incorrecta o a un descuido.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los autores de amenazas buscan constantemente nuevos vectores de ataque y vigilan el ecosistema en su conjunto para identificar objetivos potencialmente lucrativos.
Una de las razones por las que es probable que las API constituyan un objetivo atractivo para los autores de amenazas es el hecho de que las organizaciones no siempre disponen de una visibilidad completa de sus API.
Tal y como señala continuamente Imperva en su informe, estos ataques son difíciles de detectar. «La naturaleza dinámica de las interacciones de las API y el enorme volumen de solicitudes legítimas dificultan que las medidas de seguridad tradicionales puedan detectar actividades maliciosas», señala el informe.
Dado que los autores de amenazas utilizan diversas técnicas para atacar las API, se requieren diferentes tipos de medidas de mitigación para garantizar una cobertura completa. Imperva ofrece consejos para mitigar los riesgos en su informe.
3. Una campaña de APT tiene como objetivo a entidades gubernamentales de todo el mundo
Los investigadores llevan desde el año 2022 haciendo un seguimiento de una campaña APT denominada « » ( ), dirigida contra varias entidades gubernamentales de todo el mundo.
La campaña —que los investigadores atribuyen a un actor malicioso denominado Earth Krahang— accede a la infraestructura pública para lanzar ataques contra otras entidades gubernamentales. El actor malicioso utiliza este acceso para alojar cargas maliciosas, redirigir el tráfico de ataques y enviar correos electrónicos de phishing de tipo «spear-» desde cuentas de correo electrónico gubernamentales comprometidas. Además, el actor instaló recientemente un servidor VPN en un servidor público que había sido comprometido para obtener acceso permanente a la red privada de la víctima.
Reconocimiento y acceso inicial
Uno de los vectores de infección de esta campaña consiste en escanear servidores accesibles al público. El autor de la amenaza utiliza herramientas de código abierto para buscar archivos con extensión .git o .idea. Este agente también aplicará, en ocasiones, ataques de fuerza bruta directamente sobre los directorios. El actor busca servidores que puedan estar desatendidos y pretende acceder a ellos para introducir «web shells» e instalar puertas traseras. En algunos casos, el autor de la amenaza también recurrirá al spear phishing.
Trend Micro ha observado que Earth Krahang obtiene cientos de direcciones de correo electrónico de la víctima durante la fase de reconocimiento. En un ejemplo concreto, el autor de la amenaza se valió de un buzón de correo electrónico comprometido de un empleado público para enviar un documento malicioso a otras 796 direcciones de correo electrónico pertenecientes a la misma entidad pública. El actor también se aprovecha de la confianza establecida entre las entidades gubernamentales para llevar a cabo sus ataques.
Actividad posterior a la explotación
Se sabe que este actor malicioso instala la VPN SoftEther en los servidores expuestos al público que consigue comprometer. A continuación, se cambia el nombre del archivo ejecutable del servidor SoftEther para que pase desapercibido entre los archivos legítimos del sistema.
A continuación, esta VPN se utiliza para conectarse a la red de la víctima y llevar a cabo otras actividades posteriores a la explotación. Entre las actividades observadas tras la explotación se incluyen el establecimiento de la persistencia de la puerta trasera mediante tareas programadas, la habilitación de conexiones de escritorio remoto, el acceso a credenciales, el escaneo de la red, la ejecución lateral de código, el aprovechamiento de vulnerabilidades para la escalada de privilegios y otras acciones.
Fuga de información por correo electrónico
Se ha observado que el autor de la amenaza realizaba ataques de fuerza bruta contra servidores de Exchange a través de los portales OWA de sus víctimas. El actor utiliza un script personalizado en Python dirigido al servicio ActiveSync del servidor OWA para llevar a cabo este ataque. Además, este actor ha utilizado la herramienta de código abierto conocida como «Ruler» para realizar ataques de fuerza bruta contra credenciales de correo electrónico. También se utilizó otro script de Python para extraer correos electrónicos de un servidor Zimbra.
El malware de Earth Krahang
Earth Krahang ha distribuido una serie de programas maliciosos a lo largo de esta prolongada campaña, entre los que se incluyen Cobalt Strike y dos puertas traseras personalizadas diferentes: REDSHELL y XDealer.
REDSHELL se utilizó principalmente durante la campaña de 2022. Desde entonces, el actor ha pasado a utilizar principalmente XDealer, que cuenta con versiones tanto para Windows como para Linux.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Trend Micro afirma haber identificado 48 organismos públicos que han sufrido una filtración. Además, otras 49 organizaciones gubernamentales fueron objeto de estos ataques. Estas cifras son abrumadoras, pero la campaña lleva en marcha al menos desde el año 2022 , lo que ha dado al autor de la amenaza tiempo más que suficiente para llevar a cabo los ataques.
Aunque la campaña se ha dirigido a otros sectores, se centra de manera abrumadora en entidades gubernamentales y aprovecha los correos electrónicos oficiales que han sido objeto de ataques. Dicho esto, es importante desarrollar un «escepticismo sano ante posibles problemas de seguridad y adquirir hábitos como abstenerse de hacer clic en enlaces o abrir archivos adjuntos sin haber verificado primero la identidad del remitente».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros resúmenes recientes sobre inteligencia de amenazas cibernéticas en « » () en.
