En el resumen de esta semana, CTI analiza una versión modificada de un complemento predeterminado de Notepad++ llamado mimeTools.dll que se está distribuyendo comodín. Next CTI investiga una nueva ola de ransomware barato y producido de manera independiente que se desvía del modelo tradicional de ransomware como servicio (RaaS). Finalmente, CTI desglosa la última campaña de publicidad incorrecta de Google que está llevando dominios tipográficos que imitan el software de escaneo IP legítimo a la parte superior de los resultados del motor de búsqueda.
1. Los investigadores descubren el complemento modificado Notepad++
Los investigadores han descubierto una versión modificada de un complemento predeterminado de Notepad++ llamado mimeTools.dll que se está distribuyendo comodín.
MimeTools.dll es un complemento predeterminado que se incluye en el archivo de instalación del paquete del paquete Notepad++. Debido a esto, mimeTools.dll se carga automáticamente cuando se inicia el programa y no requiere ninguna acción adicional del usuario. El actor de amenazas probablemente utilizó la técnica de secuestro de DLL para ejecutar la variante modificada maliciosa.
Se agregó un código shell malicioso codificado, junto con el código para descifrarlo, a la versión maliciosa de mimeTools.dll. Dentro del paquete Notepad++, el archivo malicioso en cuestión se denomina certificado.pem.
ASEC analizó más detenidamente las características de mimeTools.dll en ambas versiones y encontró que la única diferencia en el código era DllEntryPoint.
Cómo los actores de amenazas utilizan mimeTools.dll para distribuir malware
Debido a que mimeTools.dll se carga como Bloc de notas++, la actividad maliciosa comienza inmediatamente.
- El malware utiliza varias técnicas indirectas de syscall en la ejecución para evitar la detección por parte de productos antimalware.
- Luego, el certificado.pem se descifra y ejecuta. El código almacenado dentro de la función BingMaps.dll GetBingMapsFactory() luego se sobrescribe con el código shell malicioso, que resulta en la inyección de subproceso a explorer.exe.
- Luego, se descarga y ejecuta un código shell adicional desde el servidor C2 .
- La cadena que se utiliza para comunicarse con el C2 se convierte en una dirección URL después de pasar a través de una función determinada. Para enviar información al C2, la información primero se codifica en Base64 y luego se agrega al encabezado.
- Los investigadores notaron que el C2 fue diseñado para parecerse a una página de inicio de sesión de WordPress durante su análisis. Pero cuando el malware se distribuyó por primera vez, parecía un sitio wiki.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Está claro que el actor de amenazas detrás de esta actividad está persiguiendo Notepad++ debido a su popularidad.
Dado que el agresor abusa de la confianza del usuario con respecto al bloc de notas legítimo++ y no requiere interacción manual adicional del usuario, es extremadamente difícil de prevenir.
Dicho esto, el uso del secuestro de DLL por parte del perpetrador presenta una oportunidad de detección, lo que permite a los defensores ayudar a identificar este tipo de ataque.
2. Aparece un nuevo ransomware de arma de basura en los foros de delitos cibernéticos
Sophos ha descubierto una ola de ransomware de arma de basura, que se “produce de manera independiente, es económica y está mal construida”.
Según Sophos, esta ola se desvía del modelo tradicional de ransomware como servicio (RaaS) que ha inundado el panorama de amenazas durante bastante tiempo. Sin embargo, sigue siendo una oferta atractiva para los ciberdelincuentes que buscan ingresar al panorama del ransomware.
ransomware de arma de correo no deseado: Descripción general
Sophos descubrió 19 variedades diferentes de ransomware de armas de correo no deseado entre June 2023 y February 2024.
De las 19 muestras, muchas están actualmente a la venta mientras que otras están enumeradas como en desarrollo. No hay muchos detalles disponibles para cada una de las variedades de ransomware de arma de basura identificadas, pero al menos tres de ellas supuestamente se han aprovechado en ataques del mundo real.
Dado que todos los ciberdelincuentes publican esta información, es importante recordar que existe la posibilidad de que algunas de estas cepas sean simplemente una estafa diseñada para estafar a otros ciberdelincuentes.
¿Cuánto cuesta el ransomware de arma de basura?
Estas cepas de ransomware de arma de basura son todas relativamente baratas en comparación con las ofertas estándar de RaaS.
De aquellos con precios enumerados, el precio promedio era de solo $375. Y solo tres de estas cepas ofrecían un modelo de suscripción de tipo mientras que las restantes se ofrecían por una única tarifa única, nuevamente desviándose del modelo RaaS.
Características del ransomware de la pistola basura
Cada cadena de ransomware de arma de basura tiende a variar en términos de capacidades. Los actores de amenazas utilizan una gama de métodos de cifrado, incluidos algunos algoritmos raros como XTEA y Salsa20. Algunas variantes incluyen capacidades fuera del ransomware tradicional, como el robo de información y el registro de claves, mientras que otras variantes se centran en capacidades de ransomware, como la eliminación de copias de sombra de volumen y el cifrado multiproceso.
Sophos intentó profundizar en los desarrolladores detrás del ransomware y descubrió algunos que buscan evolucionar su oferta de productos y esencialmente hacer crecer su negocio. Un ejemplo de esto se ve con el desarrollador de ransomware Loni que anuncia que su producto es superior a las ofertas de RaaS y señala que están buscando escalar su infraestructura y construir un sitio de fuga de datos una vez que hay suficientes fondos disponibles.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Dado que las cepas de ransomware de arma de basura no tienen sitios de fuga de datos, es difícil para los investigadores determinar su verdadero uso en su hábitat natural.
Esta oferta estilo pistola de basura difiere en gran medida del modelo RaaS, pero aún logra un objetivo similar que es reducir el costo de entrada. Estas ofertas aún permiten que los ciberdelincuentes de diferentes niveles ingresen a la escena del ransomware sin necesidad de amplio conocimiento técnico o acceso a redes criminales.
Esta oferta puede ser más atractiva para algunos ciberdelincuentes, ya que no hay un aspecto de participación en las ganancias como en las ofertas de RaaS. Como resume Sophos, “permite a los delincuentes entrar en la acción de manera barata, fácil e independiente”.
3. La nueva campaña de publicidad incorrecta se dirige a los equipos de TI
La última campaña de publicidad incorrecta de Google está llevando varios dominios tipográficos que imitan el software de escaneo IP legítimo a la parte superior de los resultados del motor de búsqueda.
La campaña busca entregar una nueva puerta trasera, MadMxShell, que utiliza la carga lateral de DLL en varias etapas, abusa del protocolo DNS para las comunicaciones C2 y es capaz de evadir las soluciones de seguridad forense de memoria.
Acerca de la campaña
El actor de amenazas detrás de esta campaña ha registrado varios dominios que falsifican software de escáner IP legítimo como Advanced IP Scanner, Angry IP Scanner, PRTG IP Scanner y Manage Engine.
Todos estos dominios se utilizaron en los ataques de publicidad incorrecta de marzo. El código fuente de los sitios maliciosos es casi idéntico al del sitio legítimo, excepto por una edición que redirige al usuario para descargar un archivo malicioso.
La puerta trasera
Zscaler analizó una muestra llamada Advanced-ip-scanner.zip que contenía dos archivos, incluido un ejecutable que es una copia renombrada del oleview.exe legítimo y un DLL.
Cuando el ejecutable ejecuta, carga lateralmente el DLL y ejecuta una serie de shellcode. En la siguiente etapa, se desconecta un archivo Microsoft exe, OneDrive.exe, firmado legítimamente. Luego, se abusa de la carga lateral de un DLL adicional para establecer la persistencia.
El malware intentará deshabilitar Windows Defender, configurar una tarea programada y usar técnicas antivolcado antes de realizar la manipulación típica de archivos.
El malware también se comunicará con su C2 enviando y recibiendo comandos que están codificados dentro de las consultas DNS MX. El malware se configura con intervalos de tres segundos entre solicitudes que son bastante cortas y, por lo tanto, mucho más nostálgicas que el malware que utiliza HTTP para las comunicaciones C2 .
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Los actores de amenazas recurren cada vez más a la publicidad incorrecta para entregar malware a usuarios desprevenidos, lo que subraya la importancia de verificar los enlaces de resultados del motor de búsqueda antes de hacer clic ciego.
Lo que hace que esta campaña de publicidad errónea sea diferente es su uso de consultas DNS MX para su comunicación C2 . A primera vista, esto parece una técnica sofisticada, pero el intervalo de solo tres segundos entre solicitudes lo hace bastante ruidoso.
Esta campaña parece estar dirigida a usuarios de TI dado el software que está suplantando. Sin embargo, parece que surgen nuevas campañas de publicidad incorrecta regularmente y apuntan a una amplia gama de usuarios con varios software.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium e inicie una conversación.
Para obtener más información, póngase al día con nuestras recientes redondeos de inteligencia sobre amenazas cibernéticas.
