Esta semana analizamos un informe de Sentinel One que revela un reciente aumento en el número de cargas útiles de Geacon enviadas a la plataforma de análisis de malware VirusTotal. A continuación, se ofrece un resumen de un informe de Proofpoint sobre la decisión tomada por Microsoft el año pasado de desactivar por defecto las macros en los documentos procedentes de Internet, así como su impacto en el panorama de las amenazas cibernéticas. Por último, CTI analiza un nuevo informe de Check Point sobre cómo los ciberdelincuentes están atacando el Marketplace de Microsoft VSCode. Según se ha informado, se han subido al Marketplace tres extensiones maliciosas de Visual Studio que, en el momento de la publicación, habían sido descargadas 46,600 veces por desarrolladores de Windows.
1. Los piratas informáticos utilizan una variante en Golang de Cobalt Strike para atacar sistemas macOS
SentinelOne ha observado un aumento en el número de cargas útiles de Geacon (se abre en una nueva pestaña) que han aparecido en VirusTotal en los últimos meses.
Las organizaciones suelen utilizar Geacon —una implementación en Golang de Cobalt Strike— junto con Cobalt Strike para llevar a cabo ejercicios de «equipo rojo». Al parecer, los autores de las amenazas también están utilizando Geacon durante sus ataques.
A continuación, le ofrecemos algunos datos generales sobre Geacon:
- Geacon apareció por primera vez hace varios años en GitHub como una variante en Go de Cobalt Strike Beacon. Aunque ya lleva algún tiempo en el mercado, SentinelOne no había observado su implementación en sistemas macOS hasta hace poco.
- SentinelOne analizó las cargas útiles de Geacon en VirusTotal y observó lo que parece ser un aumento en la popularidad de dos variantes de Geacon desarrolladas por un programador chino anónimo.
- El desarrollador responsable de Geacon utiliza el nombre de usuario « z3ratu1 » y señaló a finales de October 2022 que «un día, simplemente fui de compras y vi este proyecto, Geacon, y así surgieron este proyecto de diversión y su guía de desarrollo». La primera carga útil de Geacon se envió a VirusTotal poco después de la publicación del desarrollador.
- En el momento de April 2023, los proyectos «geacon_plus» (público) y «geacon_pro» (privado y, ¿quizás a la venta?) —ambos desarrollados por la misma persona— habían obtenido cerca de 1,000 estrellas. Los proyectos también se incorporaron al proyecto 404 Starlink, que es un repositorio público de herramientas de código abierto para equipos de simulación de ataques y pruebas de penetración. Durante ese mismo periodo, se enviaron a VirusTotal dos cargas útiles diferentes de Geacon que dieron lugar a la investigación de SentinelOne.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Si bien es probable que algunas de las observaciones de SentinelOne formen parte de un uso legítimo en el marco de pruebas de penetración o de equipos rojos, es igualmente probable que los autores de amenazas también estén utilizando esta herramienta como parte de ataques maliciosos».
«Hemos podido comprobar lo popular que es Cobalt Strike entre los autores de amenazas cibernéticas, y el aumento observado en el número de muestras de Geacon subidas a VirusTotal sin duda nos lleva a preguntarnos si Geacon se convertirá en la próxima herramienta preferida por los autores de amenazas».
2. Los ciberdelincuentes se adaptan a la función de bloqueo de macros de Microsoft
Proofpoint informa de que la decisión de Microsoft February 2022 de desactivar las macros de forma predeterminada (se abre en una nueva pestaña) en documentos procedentes de Internet ha obligado a los ciberdelincuentes a desarrollar cadenas de ataque muy diferentes.
Microsoft anunció que comenzaría a bloquear las macros XL4 y VBA de forma predeterminada para los usuarios de Office en October 2021 y February 2022 , respectivamente. Los cambios comenzaron a implantarse en la versión 2022.
El párrafo introductorio del informe de Proofpoint explica muy bien el gran impacto que ha tenido la decisión de Microsoft de bloquear las macros de forma predeterminada:
«El ecosistema de la ciberdelincuencia ha experimentado un cambio trascendental en su actividad y en el comportamiento de las amenazas a lo largo del último año, de una forma que los investigadores especializados en amenazas no habían observado hasta ahora». «Los autores de amenazas con motivaciones económicas que obtienen acceso inicial a través del correo electrónico ya no utilizan cadenas de ataque estáticas y predecibles, sino técnicas dinámicas que cambian rápidamente».
La medida adoptada por el gigante del software obligó prácticamente a todos los eslabones de la cadena de los autores de amenazas cibernéticas —desde los delincuentes de poca monta que se dedican a delitos comunes hasta los ciberdelincuentes más experimentados— a cambiar drásticamente su forma de actuar.
Principales conclusiones del informe
Gracias a la perspectiva que ofrece Proofpoint sobre su telemetría y a su capacidad para analizar miles de millones de mensajes al día, este proveedor se encuentra en una posición privilegiada para extraer conclusiones significativas sobre el panorama de las ciberamenazas.
Entre esas conclusiones:
- Los principales autores de delitos informáticos recurren actualmente a un conjunto cada vez más variado de tácticas, técnicas y procedimientos.
- Los intermediarios de acceso inicial y otros agentes maliciosos suelen «seguir al líder» a la hora de emplear diversas técnicas.
- Los defensores deben responder con rapidez al panorama de amenazas en constante evolución, de una forma que los investigadores no habían observado hasta ahora.
- Algunos de los principales actores del cibercrimen disponen de los recursos necesarios para investigar y desarrollar nuevas y complejas cadenas de ataque.
Comienza el turno
Antes de la versión 2022, las macros de « » eran el arma preferida por los ciberdelincuentes que buscaban convertir documentos señuelo en armas mediante scripts maliciosos diseñados para facilitar la descarga de cargas útiles de malware de acceso inicial en los sistemas objetivo durante campañas de phishing por correo electrónico.
De Proofpoint:
Los actores maliciosos utilizan las macros de VBA para ejecutar automáticamente contenido malicioso cuando un usuario ha habilitado activamente las macros en las aplicaciones de Office. XL4 macros son específicas de la aplicación Excel, pero los actores maliciosos también pueden utilizarlas con fines maliciosos. Por lo general, los autores de amenazas que distribuyen documentos con macros activadas recurren a la ingeniería social para convencer al destinatario de que el contenido es importante y de que es necesario activar las macros para poder visualizarlo.
Desde que Microsoft puso en marcha la política de bloqueo de macros, los informes de Proofpoint han puesto de relieve continuamente las diversas formas nuevas en las que los autores de amenazas han comenzado a dejar de utilizar macros.
Entre dichas técnicas se encontraban:
- El uso de archivos comprimidos, como archivos ISO adjuntos, para distribuir malware. Los ciberdelincuentes aprovecharon esta técnica para eludir la comprobación que realiza Microsoft de los atributos «mark-of-the-web» (MOTW) de los archivos, que el gigante del software utilizaba para bloquear las macros en los documentos descargados de Internet.
- El uso de archivos de acceso directo o LNK también fue una técnica muy utilizada —al menos en un principio— por una amplia variedad de ciberdelincuentes. Esta táctica gozó de especial popularidad entre diversos actores clasificados como IAB. De Proofpoint:
«Proofpoint observó que al menos ocho grandes actores de amenazas de ciberdelincuencia, considerados IAB, utilizaban archivos adjuntos LNK, cuyo uso alcanzó su punto álgido en junio y September 2022 antes de que dichos actores comenzaran a adoptar nuevas tácticas, técnicas y procedimientos (TTP)».
- Los archivos XLL —un tipo de archivo de biblioteca de enlace dinámico (DLL) para Excel diseñado para ampliar la funcionalidad de la aplicación— también comenzaron a utilizarse entre los principales autores de delitos informáticos. Finalmente, Proofpoint «observó que al menos seis importantes actores del cibercrimen experimentaban con archivos XLL para la distribución de malware, así como múltiples grupos de amenazas sin atribuir; sin embargo, los archivos XLL se utilizan mucho menos que otros tipos de archivo y no se ha registrado un aumento notable en su uso en el panorama de las amenazas».
- El contrabando de HTML también ha aumentado de forma significativa en los datos de campañas observados por Proofpoint desde el 2022. Tal y como sugiere su nombre, esta estrategia consiste en «introducir de forma encubierta» un script codificado dentro de un archivo adjunto HTML aparentemente inofensivo. Al abrirlo, el navegador web del usuario descodifica el script malicioso destinado a instalar la carga útil del malware en el ordenador de la víctima.
- El uso de archivos PDF por parte de diversos actores maliciosos ha sido una técnica muy extendida desde que Proofpoint comenzó a realizar un seguimiento de dichos actores. Tras la aplicación por parte de Microsoft de la política de bloqueo de macros, los investigadores de Proofpoint observaron un uso cada vez mayor de archivos PDF adjuntos por parte de múltiples actores maliciosos objeto de seguimiento y de grupos de actores maliciosos (IAB) conocidos.
El auge de las IAB
Quizás uno de los cambios más significativos que se han producido en los últimos años —y que sin duda se ha visto influido por la política de Microsoft— sea la creciente dependencia de los intermediarios de acceso inicial (IAB) por parte de los principales ciberdelincuentes, las bandas de ransomware y otras operaciones de malware.
Es habitual que los autores de amenazas compren acceso a grupos independientes de ciberdelincuentes especializados en la infiltración de objetivos de gran valor y que vendan dicho acceso a autores de ransomware u otros extorsionadores con el fin de obtener beneficios.
De Proofpoint:
Por lo general, los IAB son actores maliciosos oportunistas que facilitan acceso a sus afiliados y a otros actores del cibercrimen a posteriori, por ejemplo, anunciando la venta de dicho acceso en foros. A efectos del presente informe, Proofpoint considera que los IAB son aquellos grupos que obtienen acceso inicial a través de cargas útiles de malware de primera fase y que pueden colaborar o no directamente con los autores de amenazas de ransomware. Estos actores maliciosos comprometen a las organizaciones víctimas mediante malware de primera fase, como Qbot, IcedID o Bumblebee, y posteriormente venden su acceso a operadores de ransomware para que estos lleven a cabo operaciones de robo y cifrado de datos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«A medida que las defensas siguen evolucionando y se vuelven más sólidas, CTI prevé que los autores de amenazas seguirán probando nuevas técnicas y métodos de distribución de malware».
Proofpoint comparte esta opinión:
La experimentación con nuevas técnicas de distribución de cargas maliciosas y el cambio constante hacia ellas por parte de los actores maliciosos rastreados, especialmente los IAB, difiere enormemente de las cadenas de ataque observadas antes de 2022 y marca el inicio de una nueva normalidad en la actividad maliciosa. Los ciberdelincuentes más experimentados ya no se limitan a utilizar una o unas pocas técnicas, sino que desarrollan y perfeccionan con frecuencia nuevas TTP. El rápido ritmo de cambio que muestran muchos actores maliciosos sugiere que disponen del tiempo, la capacidad y el conocimiento del panorama de amenazas necesarios para desarrollar y poner en práctica nuevas técnicas con rapidez.
«El ritmo cada vez mayor con el que los ciberdelincuentes actuales adoptan nuevas técnicas tiene consecuencias para los profesionales de la seguridad que se esfuerzan al máximo por defenderse de ellos». «CTI seguirá haciendo todo lo posible por mantenerse al día de las últimas tendencias que surjan en el panorama de las amenazas cibernéticas y por difundirlas adecuadamente entre el resto de partes interesadas».
3. Las extensiones maliciosas de VSCode Marketplace roban contraseñas y abren sesiones de shell remotas
Un nuevo informe elaborado por los analistas de Check Point revela que los ciberdelincuentes han comenzado a centrar sus ataques en el Microsoft VSCode Marketplace. (se abre en una nueva pestaña)
Según se ha informado, se subieron tres extensiones maliciosas de Visual Studio al Marketplace, que, en el momento de la publicación, habían sido descargadas 46,600 veces por desarrolladores de Windows.
Acerca del Marketplace de Visual Studio Code
Visual Studio Code es un popular editor de código fuente gratuito que ofrece Microsoft a los desarrolladores de Windows que buscan un entorno de programación eficiente y personalizable, capaz de admitir una gran variedad de lenguajes de programación, marcos de trabajo y herramientas.
Microsoft también ofrece el VSCode Extensions Marketplace, que Check Point describe como un «centro neurálgico donde los desarrolladores pueden descubrir e instalar nuevas extensiones para mejorar su experiencia de programación». El Marketplace contiene extensiones oficiales de Microsoft y de terceros desarrolladas por la comunidad; en la actualidad, el número de dichas extensiones asciende a unas 50,000.
Estas extensiones de VSCode son complementos diseñados para que los desarrolladores las instalen con el fin de ampliar las funcionalidades de su editor. Pueden añadir nuevas funciones, facilitar la compatibilidad con nuevos lenguajes de programación e integrarse con herramientas y recursos externos.
Por otra parte, las extensiones maliciosas suponen un riesgo de seguridad considerable para los usuarios de diversas formas.
Extensiones maliciosas
Las extensiones maliciosas de VSCode pueden instalar malware, robar datos de los usuarios y llevar a cabo otras acciones perjudiciales. Según Check Point, el malware incluido en estas extensiones de Visual Studio permitía a los atacantes sustraer registros de información de identificación personal (PII) de los usuarios e instalar shells remotos en los dispositivos de las víctimas.
Las extensiones se detectaron y se notificaron en May 4, 2023, y se retiraron del Marketplace en May 14. Entre ellos se encontraban «Theme Dracula Dark», «python-vscode» y «prettiest java».
Si bien, según se informa, Check Point también descubrió varias extensiones sospechosas —aquellas que no podían calificarse de maliciosas con un alto grado de certeza, pero que mostraban un comportamiento inseguro—, Microsoft ha realizado una labor encomiable al implementar varias medidas de seguridad para el VSCode Extensions Marketplace (se abre en una nueva pestaña). Esto incluye la incorporación de herramientas de análisis automático de extensiones que detecten y eliminen las extensiones maliciosas del Marketplace, así como la habilitación de reseñas y valoraciones de los usuarios para facilitar la identificación y la denuncia de dichas extensiones.
Check Point afirma que, antes del descubrimiento de las tres extensiones maliciosas, prácticamente no se había publicado en el Marketplace ninguna extensión maliciosa que posteriormente se detectara como dañina. No obstante, Check Point también hace hincapié en que las extensiones maliciosas que han descubierto sus analistas no son nuevas. La mayoría de ellos tienen más de un año. Por lo tanto, independientemente de los tipos de controles y verificaciones que puedan existir, la publicación y el uso de componentes de código abierto siempre conllevan cierto grado de riesgo.
Los repositorios de software y el riesgo de la cadena de suministro
El uso de componentes de código abierto siempre conlleva cierto grado de riesgo. Lo mismo ocurre con los repositorios de software que permiten las aportaciones de los usuarios. Por ejemplo, se ha demostrado en repetidas ocasiones que repositorios como NPM y PyPI entrañan un riesgo inherente, ya que se han convertido en objetivos cada vez más atractivos para los autores de amenazas cibernéticas.
Aunque la inclusión del VSCode Marketplace en la lista de repositorios en el punto de mira de los ciberdelincuentes pueda sorprender a algunos, BleepingComputer señaló que «AquaSec demostró en enero que resultaba bastante fácil subir extensiones maliciosas al VSCode Marketplace y presentó algunos casos muy sospechosos». «Sin embargo, no pudieron encontrar ningún programa malicioso».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Dado que los ataques a la cadena de suministro de software son cada vez más frecuentes y tienen mayores repercusiones, resulta más importante que nunca examinar minuciosamente cada componente de software del que dependen los desarrolladores para realizar su trabajo diario».
«Nunca existe garantía alguna de que los paquetes de software de código abierto sean seguros». Lo mismo ocurre con los repositorios que los albergan».
¿Tiene alguna reflexión sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
