En el resumen de esta semana, CTI investiga una campaña relacionada con Microsoft Teams que distribuye el malware «DarkGate Loader». A continuación, le ofrecemos una descripción general de una campaña de phishing de que está difundiendo una nueva variante de Agent Tesla. Por último, CTI analiza una variante avanzada del malware Chaes que utiliza una implementación personalizada del protocolo Google DevTools para obtener acceso directo a las funciones del navegador.
1. Los piratas informáticos atacan Microsoft Teams con el malware «DarkGate Loader»
Truesec ha investigado recientemente una campaña de Microsoft Teams que distribuye a las víctimas el malware « » DarkGate Loader . En esta campaña, los autores de las amenazas envían mensajes de chat manipulados a cuentas externas de Office 365 y recurren a la ingeniería social para engañar a las víctimas y que descarguen y abran archivos maliciosos.
¿Quién está distribuyendo DarkGate Loader?
Truesec utilizó la herramienta de eDiscovery de Microsoft Purview para buscar a los remitentes en Microsoft Teams. Identificaron a los dos remitentes como:
- Akkaravit Tattamanas (de 63090101@my.buu.ac[.])
- ABNER DAVID RIVERA ROJAS (adriverar@unadvirtual.edu[.]co).
Los investigadores confirmaron que estas dos cuentas fueron vulneradas mediante un malware desconocido y se pusieron a la venta en la dark web, en August 2023. Decidieron centrar sus esfuerzos en recabar más información sobre el cliente O365 al que pertenecían las cuentas, utilizando los dominios indicados para buscar mensajes adicionales.
Ambos remitentes utilizaron un señuelo idéntico que contenía un enlace a un archivo. El archivo se llama «Cambios en el calendario de vacaciones.zip» y está alojado en SharePoint. Si la víctima hace clic en la URL que aparece en el mensaje de Teams, se le redirige al sitio de SharePoint donde se puede descargar el archivo. Desde entonces, Microsoft Defender ha identificado el archivo como «BAT/Tisifi.A#».
Análisis del malware
El archivo ZIP contiene un archivo LNK malicioso que se hace pasar por un documento PDF. Truesec extrajo la línea de comandos que se ejecutaría y descubrió que esta activaría la descarga y la ejecución de otro archivo.
Los comandos utilizan una versión para Windows de cURL, renombrada como wbza, para descargar y ejecutar el archivo Autoit3.exe y el script incluido eszexz.au3. El script de AutoIT precompilado oculta el código en la parte central del archivo mediante la búsqueda de los bytes mágicos.
AutoIT creará un nuevo archivo que contiene un código de shell y comprobará si el antivirus de Sophos está instalado antes de ejecutarlo. Si Sophos no está presente, se desofusca código adicional del script de AutoIT para ejecutar el código de shell. Cuando se ejecuta el código de shell, se carga byte a byte mediante una técnica de cadenas apiladas para crear un nuevo archivo. A continuación, la carga útil puede extraerse de la memoria y analizarse. En VirusTotal, la carga útil se identificó como «DarkGate Loader».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«No es la primera vez que los autores de amenazas han utilizado Microsoft Teams para llevar a cabo actividades maliciosas». «Por ejemplo, Microsoft ha identificado recientemente una campaña en la que unos actores maliciosos rusos atacaban a organizaciones a través de Teams con la intención de engañar a las víctimas para que aprobaran solicitudes de autenticación multifactorial (MFA) mediante técnicas de ingeniería social».
«Microsoft ya ha ofrecido algunas recomendaciones sobre cómo protegerse frente a estos ataques. «Sin embargo, en última instancia, todo esto nos lleva de nuevo a la importancia de la formación y la educación en materia de concienciación sobre la seguridad».
2. Una campaña de phishing aprovecha la nueva variante de Agent Tesla
Fortinet ha detectado recientemente una campaña de phishing que está difundiendo una nueva variante de Agent Tesla de : (se abre en una nueva pestaña). La campaña aprovecha dos vulnerabilidades anteriores, las números 2017 y 2018.
A pesar de que las correcciones para estas vulnerabilidades se publicaron hace varios años, siguen siendo muy utilizadas por los autores de amenazas, lo que sugiere que, años después, todavía hay dispositivos sin parchear en circulación.
El correo electrónico de phishing
Las dos vulnerabilidades aprovechadas en esta campaña son: CVE-2017-11882 (se abre en una nueva pestaña) y CVE-2018-0802 (se abre en una nueva pestaña). Ambas son vulnerabilidades de ejecución remota de código (RCE) que provocan una corrupción de memoria en el proceso EQNEDT32.exe al analizar los datos de ecuaciones manipulados. La explotación de estas vulnerabilidades puede dar lugar a la ejecución de código arbitrario.
El archivo Excel adjunto al correo electrónico de phishing está en formato OLE (Object Linking and Embedding) y contiene datos de ecuaciones manipulados que aprovechan estas vulnerabilidades, lo que, en última instancia, da lugar a la ejecución de un código shell malicioso.
Cuando la víctima abre el archivo adjunto, Excel muestra un mensaje engañoso al usuario, al tiempo que ejecuta en segundo plano el código shell incluido en los datos de la ecuación manipulados. Los datos de la ecuación maliciosa son analizados automáticamente por un proceso de MS Office, EQNEDT32.exe, lo que activa la vulnerabilidad CVE-2017-11882/CVE-2018-0802 y, posteriormente, el código de shell malicioso.
Tras el autodescifrado, la función principal del código shell es descargar y ejecutar un archivo de malware adicional. Para ello, llamará a varias API con el fin de descargar el malware en una carpeta local y ejecutarlo en el dispositivo de la víctima.
El archivo descargado
El archivo descargado, dasHost.exe, es un programa .NET protegido por dos empaquetadores. Extrae dos módulos de ejecución sin archivo: uno es el módulo de carga útil de Agent Tesla y el otro es un módulo de carga para el archivo de carga útil de Agent Tesla.
Carga útil de Agent Tesla
La función principal de esta carga útil, además de la persistencia, consiste en llevar a cabo el «hollowing» de un proceso antes de colocar un archivo ejecutable descifrado en dicho proceso y ejecutarlo. Este archivo ejecutable descifrado constituye el módulo principal de Agent Tesla.
El malware ejecuta un comando para crear una tarea en el programador de tareas del sistema (TaskScheduler) desde el módulo de carga útil. La tarea está programada para iniciarse al iniciar sesión. El módulo principal también añade una entrada de ejecución automática en el registro del sistema que se inicia automáticamente al arrancar el sistema.
El módulo principal de Agent Tesla recopilará información del dispositivo, incluidas las credenciales guardadas de algunos programas, los datos de registro de teclas de la víctima y capturas de pantalla del dispositivo. Puede sustraer credenciales de determinados programas instalados en el dispositivo, como navegadores web, clientes de correo electrónico y clientes FTP, entre otros.
El agente Tesla dispone de varias formas de enviar los datos sustraídos, entre ellas el uso del método HTTP POST o como cuerpo de un correo electrónico a través de SMTP. Esta variante opta por extraer los datos a través del correo electrónico. Tanto la dirección como el puerto del servidor SMTP están codificados de forma fija en esta variante.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta campaña solo tiene éxito porque aprovecha dos vulnerabilidades». «Cada día, Fortinet detecta y mitiga aproximadamente 3,000 ataques y unos 1,300 dispositivos vulnerables, lo que nos recuerda lo importante que puede ser aplicar los parches a tiempo».
«Esta actividad también pone de relieve el hecho de que los autores de las amenazas no se limitan a dejar de lado una vulnerabilidad una vez que se publica un parche, sino que pueden intentar explotarla durante años».
3. El malware Chaes utiliza el protocolo de Chrome DevTools para robar datos
Ha aparecido una nueva y avanzada variante del malware « » Chaes (se abre en una nueva pestaña) que utiliza una implementación personalizada del protocolo Chrome DevTools para acceder directamente a las funciones del navegador de la víctima y robar datos mediante WebSockets. La cadena de infección incluye instaladores MSI engañosos que desencadenan un proceso de infección en varias etapas mediante siete módulos distintos que realizan diversas funciones.
¿Qué es el malware Chaes?
Chaes existe al menos desde el año November 2020, y su primer auge se produjo durante el cuarto trimestre del año 2021. Se caracterizaba por su capacidad para sustraer datos financieros relacionados con MercadoLibre y por el uso de múltiples lenguajes de programación.
En 2022 , el malware se actualizó con una cadena de infección perfeccionada, una comunicación mejorada C2 , nuevos módulos y la incorporación de WMI para la recopilación de datos. La cuarta y más reciente versión de Chaes incluye mejoras significativas, entre las que se cuentan una arquitectura de código optimizada y una mayor modularidad, nuevas capas de cifrado, un cambio predominante a Python, el uso de WebSockets para la comunicación y mucho más.
Inicialización y emisión de señales de Chaes
La fase de inicialización del malware se encarga de establecer la persistencia en el sistema y de trasladar la ejecución para que se lleve a cabo dentro de la memoria de procesos legítimos. Un script permite que el malware permanezca cifrado en el disco y que los módulos se descifren y se carguen únicamente durante la ejecución. La inicialización solo tendrá lugar si la instancia que se está ejecutando en ese momento es única, el implante no se está ejecutando y el proceso en ejecución es Python (o una de sus copias), lo que indica que el malware debe inicializarse en el sistema.
Tras la fase de inicialización, el malware sale del proceso actual y el resto de la ejecución continúa desde uno de los procesos inyectados. El implante funciona en un bucle infinito, realizando C2 comunicaciones. El implante resuelve la URL C2’s de WebSocket mediante una solicitud DNS de tipo TXT dirigida a una dirección predefinida.
Módulos adicionales
Se han identificado siete módulos que pueden actualizarse de forma independiente sin alterar la funcionalidad básica. El autor de la amenaza puede enviar cada una de estas funciones para que se ejecuten en el sistema infectado.
Aunque muchos de los módulos ya estaban presentes en versiones anteriores, esta versión ofrece una reimplementación de los mismos con funcionalidades mejoradas, una base de código diferente y técnicas exclusivas.
- Init: Este es el primer módulo enviado por el actor malicioso. Sirve para la identificación o el registro de nuevas víctimas. Recopilará datos sobre el sistema infectado.
- En línea: Este módulo envía un mensaje de «en línea» al autor de la amenaza y actúa como un módulo de señalización para supervisar cuáles de las víctimas siguen activas.
- Chronod: Se trata de un programa diseñado para robar y capturar credenciales. Se encarga de interceptar la actividad del navegador para sustraer información al usuario.
- Appita: Este módulo es similar al anterior en cuanto a estructura y finalidad. Se centra específicamente en la aplicación del Banco Itaú.
- Chrautos: Se trata de un módulo mejorado basado en Chronod y Appita, con una arquitectura de código optimizada. Tiene capacidad para ampliar los objetivos y las tareas, y actualmente se centra en los datos bancarios y de WhatsApp.
- Stealer: Este módulo se encarga de sustraer datos de los navegadores basados en Chromium, incluidos datos de inicio de sesión, datos de tarjetas de crédito, cookies y la función de autocompletar.
- Carga de archivos: Este módulo permite buscar y cargar archivos desde el sistema infectado al servidor C2 . En la versión actual, el módulo solo carga datos relacionados con la extensión de MetaMask para Chrome.
Uso indebido del protocolo de Google DevTools
El malware utiliza el protocolo DevTools de Google para conectarse a la instancia actual del navegador. Este protocolo permite la comunicación directa con las funciones internas del navegador a través de WebSockets. Permite al autor de la amenaza ejecutar scripts, interceptar solicitudes de red, leer los cuerpos de las solicitudes POST antes de que se cifren y mucho más.
El módulo Chrautos aprovecha el protocolo DevTools de Google para abrir de forma activa la página web de un servicio y sustraer todos los datos relevantes, en lugar de esperar a que el usuario abra el servicio en cuestión.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El malware Chaes lleva ya varios años evolucionando». «Su reciente uso del protocolo DevTools de Google respalda aún más esta afirmación».
«Según los investigadores, este es el primer caso destacado de malware que incorpora una implementación personalizada de este protocolo de DevTools para llevar a cabo operaciones maliciosas.» Dicho esto, será interesante ver si otras familias de malware comienzan a aprovechar esto en el futuro».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
