Una de las formas más eficaces de introducir malware en una organización objetivo consiste en aprovechar una de las numerosas relaciones de confianza que esta mantiene con los proveedores de software. Así es como los piratas informáticos rusos comprometieron varias agencias del Gobierno de EE. UU. en la infame campaña de SolarWinds de (se abre en una nueva pestaña). Y es precisamente por eso por lo que los usuarios de la popular aplicación de escritorio 3CX para llamadas de voz y vídeo deberían estar muy atentos.
Un grupo sospechoso de pertenecer a Corea del Norte logró introducir de forma eficaz una puerta trasera en las actualizaciones firmadas digitalmente de la aplicación y, a continuación, activar un malware de segunda fase para sustraer datos de objetivos específicos. Como siempre, el tiempo es fundamental: las empresas de los clientes deben identificar y corregir cualquier versión de software afectada lo antes posible.
¿Qué es el 3CX?
3CX (se abre en una nueva pestaña) es un proveedor de servicios de VoIP y PBX que afirma contar con más de 12 millones de usuarios y más de 600,000 clientes empresariales en 190 países de todo el mundo, entre los que se incluyen marcas de renombre como Mercedes-Benz y PwC.
La aplicación 3CX DesktopApp de la empresa fue objeto de un ataque por parte de actores maliciosos — , concretamente sus versiones (se abre en una nueva pestaña) de la aplicación Electron para Windows (versiones 18.12.407 y 18.12.416 ) y de la aplicación Electron para Mac (versiones 18.11.1213, 18.12.402, 18.12.407 y 18.12.416).
¿Cuál fue el origen del incidente?
Según 3CX, las cargas maliciosas se insertaron en bibliotecas empaquetadas compiladas a través de Git. Esto apunta a que la culpa recayó en un repositorio de código abierto comprometido que utilizaban los desarrolladores de la empresa. Según informan (se abre en una nueva pestaña),y , este problema podría haberse detectado durante la fase de desarrollo, ya que había indicios evidentes de manipulación.
En cualquier caso, la amenaza no se detectó en una fase temprana, y tanto la versión de la aplicación para Windows como la de macOS afectadas estaban firmadas digitalmente con la clave de firma oficial 3CX . Las versiones de macOS fueron incluso certificadas por Apple, lo que significa que el gigante tecnológico de Cupertino no detectó ninguna actividad maliciosa.
¿Qué ha ocurrido?
Al estar firmadas digitalmente, las aplicaciones infectadas con troyanos lograban eludir la mayoría de las defensas perimetrales. Los atacantes también tomaron otras medidas para evitar que se activaran las alarmas. Según se ha informado, los instaladores comprometidos de las versiones para Windows y macOS contenían versiones limpias (se abre en una nueva pestaña) de la aplicación, que funcionaban correctamente. A continuación, los autores malintencionados utilizaron una técnica de carga lateral de DLL para añadir una carga útil adicional destinada a víctimas seleccionadas. Esta carga útil se cifró para evitar su detección y provocaba que el equipo infectado se conectara a un servidor controlado por el atacante para descargar el malware de segunda fase.
En un principio se pensó que la carga útil final estaba diseñada para sustraer información crítica del navegador de un equipo infectado, lo que indicaba que se trataba de una campaña de ciberespionaje dirigida. Según diversos informes (se abre en una nueva pestaña) , parte del código hallado en el malware coincide «byte a byte» con el utilizado por el infame grupo Lazarus, vinculado al régimen norcoreano. Sin embargo, datos recientes sugieren que el objetivo final podría haber sido instalar una puerta trasera modular, denominada «Gopuram», en un pequeño número de equipos. En el momento de redactar este artículo, menos de 10 empresas del sector de las criptomonedas han sido objeto de este tipo de acciones. Esto podría indicar que los ataques tuvieron una motivación económica.
Cómo puede ayudarle Tanium
3CX ha instado a (se abre en una nueva pestaña) a todos los clientes afectados a que:
- Desinstale la aplicación de escritorio 3CX Electron de todos los ordenadores con Windows o macOS
- Continúe con el análisis antivirus y de detección y eliminación de amenazas (EDR) para detectar posible malware, utilizando las firmas más recientes disponibles
- Cambie a la aplicación web PWA 3CX’s
Tanium puede ayudar a las organizaciones a identificar rápidamente las versiones afectadas de la aplicación 3CX y los indicadores de compromiso. Hay varias formas de hacerlo:
Tanium Interact (se abre en una nueva pestaña) puede identificar la aplicación de escritorio 3CX en un entorno Windows mediante la siguiente consulta: «Obtener aplicaciones instaladas cuyo nombre contenga 3CX en todos los equipos en los que el nombre de las aplicaciones instaladas contenga 3CX ».
Tanium Threat Response (se abre en una nueva pestaña) permite importar reglas YARA para identificar el malware utilizado en este ataque. A medida que se detecten, los hash de archivos vulnerables también podrán añadirse a Tanium Threat Response.
