En primer lugar, en el resumen de esta semana, CTI analiza una nueva familia de programas de robo de información denominada MetaStealer, que tiene como objetivo la plataforma macOS. A continuación, analizaremos una nueva familia de ransomware denominada « 3AM », que se ha descubierto recientemente en el entorno real. Asimismo, se incluye una descripción general de las familias de malware RedLine y Vidar, así como de la forma en que los autores de estas amenazas están distribuyendo cargas útiles de ransomware mediante las mismas técnicas de distribución que utilizan para propagar programas de robo de información.
1. Una nueva familia de programas de robo de información escritos en Go se propaga a través de ataques dirigidos
Sentinel One ha estado realizando un seguimiento y analizando una nueva familia de programas de robo de información para macOS denominada « ». MetaStealer (se abre en una nueva pestaña) para conocer en qué se diferencia de otros programas de robo de información recientes.
Según SentinelOne, muchas de las muestras de MetaStealer se distribuyen en paquetes de aplicaciones maliciosas dentro de un archivo dmg. Los archivos tienen nombres que indican que los destinatarios eran usuarios profesionales de dispositivos Mac. Algunos de los nombres de los archivos son «términos de referencia publicitarios (presentación para macOS).dmg», «CONCEPT A3 : menú completo con platos y traducciones al inglés.dmg», «AnimatedPoster.dmg» y «Brief_Presentation-Task_Overview-(SOW)-PlayersClub.dmg».
Una de las versiones de MetaStealer se denominaba «Conract for paymen & confidentiality agreement Lucasprod.dmg» (con los errores ortográficos que figuran en el nombre real del archivo). Este archivo se subió a VirusTotal junto con un comentario de la víctima en el que detallaba cómo la habían engañado. La víctima señala que fue engañada por alguien que se hizo pasar por un cliente de diseño y que le envió un archivo ZIP protegido con contraseña que contenía el archivo dmg malicioso. Otras versiones de MetaStealer han utilizado nombres que se hacen pasar por archivos o programas de Adobe.
Paquetes de aplicaciones maliciosas
Las aplicaciones incluidas en las imágenes de disco cumplen los requisitos mínimos para crear un paquete de macOS. El paquete contiene un archivo Info.plsit, una carpeta «resources» que contiene una imagen de icono y una carpeta «macOS» que contiene el ejecutable malicioso. Ninguna de las muestras analizadas por SentinelOne incluía una firma de código ni utilizaba una firma ad hoc, lo que significa que es probable que el autor de la amenaza tuviera que convencer a la víctima para que desactivara medidas de protección como Gatekeeper.
Las muestras recopiladas son archivos binarios de arquitectura única x86_64 y solo se ejecutarán en equipos con Apple Silicon M1 y M2 mediante Rosetta. Se han subido regularmente muestras de MetaStealer a VirusTotal.
Ejecutable de Go ofuscado
El ejecutable principal es un archivo Mach-O de Intel x86 que contiene código fuente de Go compilado y muy ofuscado.
El método de ofuscación es similar al utilizado en los binarios ofuscados de los programas maliciosos Sliver y Poseidon. A pesar de las técnicas de ofuscación, los investigadores identificaron funciones destinadas a extraer el llavero, recuperar las contraseñas guardadas y obtener archivos. Algunas de las versiones contienen métodos para atacar los servicios de Telegram y Meta.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La aparición de MetaStealer se suma a la tendencia reciente de los programas de robo de información dirigidos a los usuarios de Mac. «MetaStealer se dirige específicamente a los usuarios empresariales de dispositivos macOS, lo cual es inusual si se tiene en cuenta que, históricamente, el malware para Mac suele distribuirse a través de software pirateado o publicidad maliciosa».
«MetaStealer recurre en gran medida a la ingeniería social para inducir a las víctimas a que ejecuten ellas mismas cargas maliciosas». «Esto es algo en lo que los autores de amenazas parecen estar mejorando cada vez más, por lo que nos obliga a todos a estar más atentos que nunca».
2. Unos investigadores descubren el ransomware « 3AM » en circulación
Symantec ha descubierto una nueva familia de ransomware denominada 3AM (se abre en una nueva pestaña) en circulación. 3AM se detectó en un único incidente en el que un afiliado implementó el ransomware tras un intento fallido de implementar LockBit en la red.
Información general sobre el ransomware « 3AM »
3AM Es el nombre que Symantec ha dado a la familia de ransomware, basándose en las referencias a 3AM que aparecen en la nota de rescate y en la extensión .threeamtime que se añade a los archivos cifrados.
El ransomware está escrito en Rust e intentará detener varios servicios antes de cifrar cualquier archivo. Una vez finalizado el cifrado, se intentará eliminar las copias de sombra de volumen.
Hasta la fecha, el ransomware « 3AM » se ha detectado en muy contadas ocasiones. Solo se observó en un único ataque tras un intento fallido de implementación de LockBit. Por el momento, no se sabe con certeza si sus autores están vinculados a algún actor o grupo malicioso conocido.
Preparación del ataque
La primera actividad detectada por parte del actor malicioso consistió en utilizar el comando «gpresult» para obtener un volcado de la configuración de políticas aplicada en el ordenador a un usuario concreto. A continuación, el autor de la amenaza ejecutó varios componentes de Cobalt Strike antes de intentar elevar sus privilegios mediante PsExec, ejecutó comandos de reconocimiento (whoami, netstat, quser, netshare) e intentó enumerar otros servidores de la red con el fin de desplazarse lateralmente. A continuación, se añadió un nuevo usuario para garantizar la persistencia antes de utilizar la herramienta Wput para extraer archivos a un servidor FTP.
El autor del ataque intentó en un primer momento instalar el ransomware LockBit, pero este fue bloqueado en la red. Esto obligó al autor de la amenaza a recurrir, en su lugar, a 3AM . El uso de « 3AM » solo tuvo un éxito parcial, ya que los autores de la amenaza solo lograron implementarlo en tres equipos, de los cuales dos bloquearon la implementación.
3AM análisis
El ransomware es un ejecutable de 64 bits escrito en Rust. Reconoce los siguientes parámetros de línea de comandos:
- «-k» – 32 Base64 caracteres, denominados «clave de acceso» en la nota de rescate
- «-p» – Desconocido
- «-h» – Desconocido
- «-m» – Método, en el que el código comprueba uno de dos valores antes de ejecutar la lógica de cifrado:
- «local»
- «net»
- «-s»: determina los desplazamientos dentro de los archivos para el cifrado, con el fin de controlar la velocidad de cifrado. Esto se expresa en forma de cifras decimales.
Los parámetros de la línea de comandos «-m» y «-h» son mutuamente excluyentes. El uso de los parámetros «-h» y «-m» y sus valores «local» y «net» es muy similar al de los argumentos utilizados por Conti. Cuando se ejecute, intentará ejecutar una larga lista de comandos, muchos de los cuales tratan de desactivar diversos programas relacionados con la seguridad y las copias de seguridad.
A continuación, el ransomware analiza el disco y busca los archivos que se ajustan a un criterio predefinido, cifrando dichos archivos y eliminando los originales. 3AM crea entonces el archivo «RECOVER-FILES.txt» en cada carpeta analizada. Este archivo contiene la nota de rescate.
Los archivos cifrados contienen una cadena de identificación « 0x666 », seguida de los datos añadidos por el ransomware. Una vez completada la rutina de cifrado, intentará eliminar las copias de seguridad de volumen en sombra.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«No vemos que se informe mucho sobre los autores de amenazas que han intentado desplegar un programa de ransomware, pero que han cambiado a otro cuando el primero fue bloqueado». «Y se informa aún menos sobre los autores de amenazas que están pasando a utilizar un tipo de ransomware que nunca se había visto antes».
«Parece un momento interesante para probar un nuevo programa de ransomware, utilizándolo como plan de contingencia en lugar de con la intención de causarlo». Dado que el ransomware « 3AM » solo tuvo un éxito parcial, podría ser que este actor malicioso aún esté desarrollando «3AM » y que solo haya recurrido a él porque no tenía otra opción. Teniendo en cuenta que un supuesto afiliado de LockBit lo utilizó como plan alternativo, no sería de extrañar que viéramos más casos de « 3AM » en el futuro».
3. Los autores de las amenazas RedLine/Vidar se pasan al ransomware
Trend Micro lleva realizando un seguimiento de las familias de malware « », «RedLine» y «Vidar» (se abre en una nueva pestaña) desde mediados de 2022. Ambas familias se han utilizado para atacar a víctimas mediante técnicas de spear-y phishing. Sin embargo, investigaciones más recientes revelan que los autores maliciosos que se esconden tras estas familias de malware están distribuyendo ahora cargas útiles de ransomware mediante las mismas técnicas de distribución que utilizan para propagar programas de robo de información.
Se ha observado que los autores de las amenazas envían actualmente un programa malicioso de robo de información con certificados de firma de código EV antes de enviar cargas útiles de ransomware a través de la misma vía.
Antecedentes
Las organizaciones reciben certificados de firma de código con validación ampliada una vez que se ha comprobado su existencia jurídica y física en un país. Existe un proceso de emisión que conlleva una verificación de identidad más exhaustiva en comparación con los certificados de firma de código habituales. El proceso también implica la generación de una clave privada, para lo cual se requiere un dispositivo de seguridad físico.
A pesar de las medidas de seguridad adicionales que se pusieron en marcha a principios de este año, entre julio yAugust 2023 se utilizaron más de 30 muestras de EV con firma de código relacionadas con esta campaña o actividad. El programa de robo de información «Vidar», relacionado con esta actividad, era polimórfico, ya que cada muestra presentaba un hash diferente. Aunque ya se han dado casos anteriores en los que los autores de amenazas han utilizado certificados EV para su malware, Trend Micro señala que es la primera vez que observan a un autor de amenazas con tantas muestras. Aún se desconoce cómo consiguió el autor de la amenaza acceder a la clave privada.
Análisis técnico
Los autores de amenazas que utilizan RedLine y Vidar recurren a técnicas habituales para engañar a las víctimas y que estas ejecuten archivos maliciosos. Esto suele incluir el spear phishing, el uso de extensiones dobles y archivos LNK, así como la transferencia de archivos maliciosos a través de Google Drive.
En un caso investigado por Trend Micro, la víctima recibió malware de robo de información procedente de una serie de campañas a mediados de julio de este año. Posteriormente, el día August 9, recibieron una carga útil de ransomware tras ser engañados para que descargaran o abrieran un archivo adjunto falso de un correo electrónico de reclamación de TripAdvisor. El archivo adjunto utilizaba la técnica habitual de doble extensión —.pdf.htm— para hacer creer al usuario que se trataba de un PDF.
Tras abrir este archivo adjunto y hacer clic en «leer la reclamación», el usuario ejecutó, sin saberlo, varios archivos JavaScript. Esto, a su vez, descargó y ejecutó el archivo «TripAdvisor Complaint-Possible Suspension.exe». Este ejecutable se conectó a dos direcciones URL, leyendo y transformando el contenido de un archivo PNG en código shell cifrado. El código shell se descifró para generar otro código shell más destinado a la inyección.
La carga útil del ransomware acabó siendo identificada como Ransom.Win64.CYCLOPS.A y se inyectó en rgb9rast.exe, una aplicación de consola independiente legítima de 7-Zip. A continuación, dejó la nota de rescate, cifró los archivos con la extensión .knight_l y estableció una conexión SMB saliente para cifrar los archivos de la red.
Indicadores adicionales
Los autores de la amenaza también utilizaron otros nombres de archivo para sus archivos maliciosos que no contaban con firma de código EV, como «Additional informatoin about the reservation.exe» —en el que se escribe «informatoin» en lugar de «information»— y «TripAdvisor Complaint - Possible Suspension.exe ransomware». Estos nombres de archivos adicionales también utilizaban extensiones dobles, como «jpg.exe» y «pdf.exe».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«A pesar de que se implementaron medidas de seguridad adicionales, los autores de las amenazas lograron, de algún modo, distribuir código malicioso destinado al robo de información firmado con certificados EV».
«Aún se desconoce cómo el autor de la amenaza pudo obtener la clave privada necesaria para llevar a cabo esta actividad.» Esto es algo sobre lo que CTI espera obtener más información en el futuro. Lo más interesante es el cambio que han introducido en esta campaña, pasando de limitarse a distribuir malware a incluir posteriormente cargas útiles de ransomware.
«Dada la popularidad del ransomware durante el último año (si no desde hace más tiempo), cada vez es más habitual ver cómo los autores de amenazas se suben al carro del ransomware».
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
