En el resumen de esta semana, CTI analiza cómo los autores de amenazas están reutilizando código antiguo de prueba de concepto (PoC) para crear una prueba de concepto falsa destinada a nuevas vulnerabilidades. A continuación, CTI informa sobre un aviso conjunto en materia de ciberseguridad emitido por la Oficina Federal de Investigación (FBI) y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) en relación con el ransomware Snatch. Por último, CTI investiga a un actor malicioso chino dedicado al espionaje, conocido como Earth Lusca, que está atacando a organismos gubernamentales de varios países mediante una nueva puerta trasera para Linux denominada SprySOCKS.
1. Los autores de amenazas reutilizan código antiguo en pruebas de concepto (PoC) de vulnerabilidades falsas
En una advertencia dirigida a los investigadores, Palo Alto revela cómo un actor malintencionado publicó un script de prueba de concepto (PoC) falso de (se abre en una nueva pestaña) en un repositorio de GitHub poco después de que se hiciera pública la vulnerabilidad, lo que provocó la descarga de Venom RAT.
El August 17, la Zero Day Initiative informó públicamente de una vulnerabilidad de ejecución remota de código (RCE) en WinRAR, registrada con el número CVE-2023-40477. Apenas cuatro días después, un actor que utilizaba el seudónimo «whalersplonk» publicó un script de prueba de concepto falso en su repositorio de GitHub. Esta demostración de viabilidad (PoC) ficticia se basa en un script de PoC disponible públicamente que aprovechaba una vulnerabilidad de inyección SQL.
El script de prueba de concepto (PoC) falso no aprovecha la vulnerabilidad prevista, sino que se basa en un código de prueba de concepto disponible públicamente para una vulnerabilidad de GeoServer. En lugar de aprovechar la vulnerabilidad de WinRAR, como cabría esperar del código PoC, este desencadena una cadena de infección que da lugar a la instalación de VenomRAT.
El PoC falso es un script de Python que se subió a VirusTotal en un archivo ZIP denominado CVE-2023-40477-main.zip; concretamente, se trata del archivo poc.py.
Componente de ingeniería social
El archivo README.md incluido en el archivo ZIP intenta engañar a los usuarios para que pongan en peligro su propio sistema, proporcionándoles un resumen de la vulnerabilidad junto con instrucciones de uso del supuesto script de prueba de concepto (PoC). Las instrucciones también incluyen un enlace a un vídeo. Sin embargo, el vídeo ya no se encuentra alojado en esa URL, ya que se había programado su caducidad.
Los investigadores determinaron que el vídeo al que se hace referencia en el archivo README había sido visto más de 100 veces. Consiguieron dos capturas de pantalla que se utilizaron como miniaturas para mostrar fragmentos del vídeo.
- La primera imagen aparece antes de que el usuario haga clic en el botón de reproducción y muestra el escritorio y el administrador de tareas del autor de la amenaza, incluido un proceso denominado «Windows.Gaming.Preview». Este es el mismo nombre de archivo ejecutable que el de la carga útil de VenomRAT.
- Se cree que la segunda captura de pantalla se tomó a mitad del vídeo y muestra un archivo de Burp Suite, una contraseña en el Bloc de notas y el cliente PuTTY. Además, muestra la fecha y la hora del reloj de Windows, lo cual resultó de gran ayuda para establecer una cronología.
La demostración de viabilidad falsa
El script de Python de prueba de concepto (PoC) falso que se encontraba en el archivo se llamaba «poc.py» y se basaba en el código abierto « CVE-2023-25157 PoC», con algunas modificaciones.
Los cambios incluyen:
- Eliminación de los comentarios relativos a los detalles sobre la vulnerabilidad CVE-2023-25157
- Eliminación de líneas de código que pudieran sugerir que se trata de una vulnerabilidad relacionada con la red, como la configuración de variables denominadas PROXY y PROXY_ENABLED
- Cadenas modificadas de Geoserver para crear un exploit
- Inclusión de código adicional que descarga y ejecuta un script por lotes con el comentario «comprobar dependencia»
Un script por lotes ejecutará un script de PowerShell codificado para descargar otro script de PowerShell, que se guardará en %TEMP%\c.ps1. Este script descargado descargará y ejecutará otro archivo ejecutable antes de crear una tarea programada (Windows.Gaming.Preview.exe) para ejecutar dicho archivo cada tres minutos.
Windows.Gaming.Preview.exe es una variante de VenomRAT. Esta variante activa una función de registro de teclas para registrar las pulsaciones antes de comenzar a comunicarse con su C2.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La motivación que subyace a este ataque resulta interesante, ya que parece que, aunque la selección de objetivos sea más bien oportunista, sigue centrándose en los investigadores de seguridad».
«Esta actividad pone de relieve el hecho de que los autores de las amenazas buscan constantemente nuevas vías de ataque y se aprovechan de los intereses de sus víctimas. Además, nos recuerda la importancia de recurrir a fuentes fiables, sobre todo a la hora de descargar código de prueba de concepto (PoC).»
2. El FBI y la CISA publican un aviso conjunto sobre Snatch RaaS
El FBI y la CISA han publicado un aviso conjunto sobre ciberseguridad para difundir los últimos indicadores de compromiso (IOC) y tácticas, técnicas y procedimientos (TTP) asociados al ransomware « » Snatch. (se abre en una nueva pestaña)
El ransomware Snatch apareció por primera vez en 2018, funcionando según un modelo de «ransomware como servicio» (RaaS). El grupo se llamaba originalmente «Team Truniger» debido al apodo de uno de sus miembros más destacados. Los autores del ataque utilizaron una variante de ransomware personalizada que destacaba especialmente por reiniciar los dispositivos en modo seguro, lo que permitía al ransomware eludir la detección y cifrar archivos cuando había menos servicios en ejecución.
Se sabe que los autores de estas amenazas adquieren datos sustraídos por otras variantes de ransomware para seguir explotando a esas víctimas. Como ya hemos señalado anteriormente, el grupo de ransomware Snatch ha reivindicado la autoría de varios ataques contra organizaciones educativas que dieron lugar a la filtración de datos personales identificativos (PII) de alumnos y personal en la dark web. Desde mediados de 2021, los autores del ransomware Snatch han ido adaptando constantemente sus tácticas, técnicas y procedimientos (TTP) para sacar partido de los cambios en el panorama de las amenazas. Los autores de las amenazas se han centrado históricamente en una amplia gama de sectores de infraestructuras críticas, entre los que se incluyen la base industrial de defensa (DIB), el sector agroalimentario y el de las tecnologías de la información.
Los autores de la amenaza de ransomware «Snatch» llevan a cabo operaciones que implican la sustracción de datos y la doble extorsión. A menudo se comunican directamente con las víctimas para exigir un rescate y amenazan con publicar los datos robados en su blog de extorsión.
Acceso inicial y persistencia
Los autores de ataques de tipo «snatch» disponen de varios métodos para obtener acceso y mantener la persistencia. Los afiliados suelen recurrir a la explotación de vulnerabilidades en el RDP para llevar a cabo ataques de fuerza bruta y obtener credenciales de administrador de la red. En algunos casos, los afiliados han adquirido credenciales robadas en foros clandestinos de ciberdelincuentes.
Los autores de la amenaza logran la persistencia al comprometer una cuenta de administrador y establecer conexiones a través del puerto 443 con un servidor C2 . El servidor C2 se encuentra en un servicio de alojamiento web «a prueba de balas» ruso.
Detección de datos y movimiento lateral
Los autores de las amenazas utilizan diversas tácticas, técnicas y procedimientos (TTP) para descubrir datos, desplazarse lateralmente y buscar datos con el fin de exfiltrarlos. Sc.exe se utiliza para configurar, consultar, detener, iniciar, eliminar y añadir servicios del sistema mediante la línea de comandos de Windows. Los autores del ataque también utilizaron Metasploit y Cobalt Strike.
Antes de lanzar el ransomware, los autores de la amenaza permanecen hasta tres meses en el sistema de la víctima. Durante este tiempo, los autores de la amenaza se aprovechan de la red, desplazándose lateralmente a través de RDP para lograr el mayor despliegue posible del ransomware.
Elusión de la defensa y ejecución
Durante las primeras fases de la cadena de ataque, los autores del ataque Snatch intentan desactivar el software antivirus y ejecutar un archivo ejecutable denominado «safe.exe». En casos más recientes, el nombre del archivo ejecutable del ransomware consistía en una cadena de caracteres hexadecimales que coincidía con el hash SHA-256 de los archivos.
Una vez iniciado, el código malicioso del ransomware consultará y modificará claves del Registro, utilizará diversas herramientas nativas de Windows para realizar un recuento del sistema, localizar procesos y crear procesos inofensivos con el fin de ejecutar archivos por lotes de Windows. En algunos casos, el ransomware elimina las copias de seguridad de volumen. Tras la ejecución de los archivos por lotes, el ransomware elimina dichos archivos del sistema.
El programa ejecutable del ransomware añade una serie de caracteres hexadecimales al nombre de cada archivo y carpeta que cifra. Esto varía en función de cada infección. Además, creará un archivo llamado «HOW TO RESTORE YOUR FILES.txt» en cada carpeta. Los autores de las amenazas se comunican con sus víctimas por correo electrónico y a través de la plataforma de comunicación Tox, según los identificadores que dejan en las notas de rescate.
Algunas víctimas han informado de que han recibido una llamada con número falsificado de una mujer desconocida que afirmaba estar vinculada al grupo de ransomware Snatch y les indicaba que visitaran la página web de extorsión de dicho grupo. En algunos casos, las víctimas tenían instalada en sus sistemas una variante diferente de ransomware, pero aun así recibieron la nota de rescate de Snatch.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Lo que distingue a este grupo de ransomware son sus llamadas telefónicas falsificadas, que se producen de forma ocasional, se dirigen directamente a la víctima y la remiten al sitio web de extorsión». Aunque esta táctica no aparece en todos los ataques del ransomware Snatch, sigue planteando la pregunta de por qué —y si esta tendencia se extenderá a otras familias de ransomware—.
«Las tres últimas páginas del aviso conjunto incluyen recomendaciones detalladas de mitigación por parte del FBI y la CISA. Entre sus principales recomendaciones se incluyen proteger y supervisar de cerca el RDP, mantener copias de seguridad de los datos fuera de línea, así como habilitar y exigir el uso de la autenticación multifactorial (MFA) resistente al phishing.
3. Los autores de amenazas utilizan el nuevo malware para Linux «SprySOCKS» en ataques de ciberespionaje
Un grupo de espionaje chino conocido como « » (Earth Lusca) (se abre en una nueva pestaña) está atacando actualmente a organizaciones gubernamentales de varios países con una nueva puerta trasera para Linux denominada «SprySOCKS». La puerta trasera tiene su origen en el malware de código abierto para Windows «Trochilus», disponible en , (se abre en una nueva pestaña),y , y muchas de sus funciones se han adaptado para que funcionen en sistemas Linux.
Actividad reciente de Earth Lusca
Earth Lusca ha seguido activa en 2023, llevando a cabo ataques dirigidos contra departamentos gubernamentales de asuntos exteriores, tecnología y telecomunicaciones.
Earth Lusca está aprovechando cada vez con mayor frecuencia las vulnerabilidades de «N-day» en los servidores para obtener acceso inicial. A continuación, se implementará un shell web y se instalará Cobalt Strike para llevar a cabo un movimiento lateral. El grupo se hará con documentos y credenciales de cuentas de correo electrónico, y desplegará puertas traseras más avanzadas, como ShadowPad y la versión para Linux de Winnti.
Componente del cargador de mandíbula
Trend Micro detectó un archivo denominado «libmonitor.so.2 » alojado en el servidor de distribución de Earth Lusca. Descubrieron que el cargador no se había desarrollado desde cero. Su desarrollador utilizó un inyector ELF para Linux de acceso público denominado «mandibule».
El proyecto original «ELF injector» es una herramienta de línea de comandos capaz de inyectar una carga útil en sí mismo o en otro proyecto. Esto sirvió de base para el cargador del malware. El desarrollador ha eliminado la pantalla de uso y la posibilidad de inyectarse en otros procesos y, en su lugar, ha añadido una función para cargar y descifrar la segunda fase. Los investigadores señalan que se trató de un trabajo bastante descuidado, ya que el desarrollador no eliminó los mensajes de depuración ni depuró el cargador.
El nombre del proceso se establece como «kworker/0:22 » mediante el comando prctl. Kwoker suele ser un proceso de lugar de reserva para los subprocesos de trabajo del núcleo. Es probable que se eligiera este nombre para no levantar sospechas. El cargador admite dos parámetros de línea de comandos: la ruta al archivo cifrado de la segunda fase y el indicador de autodestrucción. La segunda etapa se cifra mediante el algoritmo AES-ECB, y la contraseña viene preconfigurada en el cargador. Además, el cargador garantiza su persistencia copiándose a sí mismo y a la segunda fase cifrada en el directorio /usr/sbin/ y renombrándolos. A continuación, inicia el cargador como servicio y se elimina automáticamente.
Componente SprySOCKS
Los investigadores examinaron la segunda fase descifrada y descubrieron que se había compilado de forma estática mediante el proyecto HP-Socket, un marco de trabajo de red de alto rendimiento de origen chino. El procedimiento de inicialización reveló una contraseña cifrada y fijada en código, utilizada para cifrar la comunicación con el servidor C2 . La dirección C2 y el puerto también están codificados de forma fija, pero en texto sin cifrar.
El malware parece ser una combinación de varios tipos de malware. El protocolo de comunicación SprySOCKS C2 es similar al de la puerta trasera de Windows denominada RedLeaves. Por el contrario, la implementación del shell interactivo parece derivarse del malware para Linux conocido como Derusbi. El RAT ejecuta varios comandos estándar de puerta trasera, como recopilar información del sistema, iniciar un shell interactivo, mostrar las conexiones de red, crear un proxy SOCKS, cargar y descargar archivos, entre otros.
Atribución
La carga útil cifrada de SprySOCKS se alojó en un servidor de distribución a principios de June 2023. Este servidor era gestionado por el actor malicioso «Earth Lusca» y distribuía archivos ejecutables de Cobalt Strike y de la versión para Linux de Winnti a sus objetivos. La carga útil de SprySOCKS contiene un número de versión 1.3.6 y utiliza un dominio C2 concreto. Los investigadores encontraron otra carga útil de SprySOCKS en VirusTotal con el número de versión 1.1, que se conectaba a un dominio C2 distinto. Este dominio C2 presentaba múltiples solapamientos con un dominio que se sabe que es un C2 de Earth Lusca.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Hasta el momento, Trend Micro solo ha observado que Earth Lusca utiliza el malware SprySOCKS». Sin embargo, dado que los actores maliciosos chinos suelen compartir malware personalizado, no sería de extrañar que, en el futuro, otros actores maliciosos chinos utilizaran SprySOCKS».
«El malware no parece ser especialmente complejo por el momento, pero sus múltiples versiones indican que es probable que aún se encuentre en fase de desarrollo y perfeccionamiento».
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
