En el resumen de esta semana, CTI analiza una versión modificada de un complemento predeterminado de Notepad++ denominado mimeTools.dll que se está distribuyendo de forma generalizada. A continuación, CTI investiga una nueva oleada de ransomware de bajo coste y de producción independiente, denominado «junk gun», que se aleja del modelo tradicional de «ransomware como servicio» (RaaS). Por último, CTI analiza en detalle la última campaña de publicidad maliciosa de Google, que está posicionando en los primeros puestos de los resultados de los motores de búsqueda dominios «typosquat» que imitan a programas legítimos de análisis de direcciones IP.
1. Unos investigadores descubren un complemento modificado de Notepad++
Unos investigadores han descubierto una versión modificada de un complemento predeterminado de Notepad++ , denominado mimeTools.dll , que se está distribuyendo de forma generalizada.
MimeTools.dll es un complemento predeterminado que se incluye en el archivo de instalación del paquete de Notepad++. Por este motivo, el archivo mimeTools.dll se carga automáticamente al iniciar el programa y no requiere ninguna acción adicional por parte del usuario. Es probable que el autor de la amenaza haya utilizado la técnica de secuestro de DLL para ejecutar la variante maliciosa modificada.
Se añadió un código shell malicioso codificado, junto con el código para descifrarlo, a la versión maliciosa de mimeTools.dll. Dentro del paquete de Notepad++, el archivo malicioso en cuestión se denomina «certificate.pem».
ASEC analizó en profundidad las características del archivo mimeTools.dll en ambas versiones y descubrió que la única diferencia en el código era el DllEntryPoint.
Cómo utilizan los autores de amenazas el archivo mimeTools.dll para distribuir malware
Dado que el archivo mimeTools.dll se carga como Notepad++, la actividad maliciosa comienza de inmediato.
- El malware utiliza varias técnicas de llamadas al sistema indirectas durante su ejecución para evitar ser detectado por los productos antimalware.
- A continuación, se descifra y se ejecuta el archivo «certificate.pem». A continuación, el código almacenado en la función GetBingMapsFactory() del archivo BingMaps.dll se sobrescribe con el código shell malicioso, lo que da lugar a la inyección de un hilo en el proceso explorer.exe.
- A continuación, se descarga y se ejecuta un código de shell adicional desde el servidor C2 .
- La cadena que se utiliza para comunicarse con el C2 se convierte en una URL tras pasar por una función determinada. Para enviar información al C2, primero se codifica en el Base64 y, a continuación, se añade a la cabecera.
- Durante su análisis, los investigadores observaron que la página C2 se había diseñado para que se pareciera a una página de inicio de sesión de WordPress. Sin embargo, cuando el malware se distribuyó por primera vez, tenía el aspecto de una página wiki.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Está claro que el autor de esta actividad tiene en el punto de mira a Notepad++ debido a su popularidad.
Dado que el autor de la amenaza se aprovecha de la confianza que los usuarios depositan en la versión legítima de Notepad++ y que no requiere ninguna acción manual adicional por parte del usuario, resulta extremadamente difícil prevenirlo.
Dicho esto, el uso del secuestro de DLL por parte del actor malicioso ofrece una oportunidad para su detección, lo que permite a los defensores identificar este tipo de ataque.
2. Aparece un nuevo ransomware de tipo «junk gun» en foros de ciberdelincuencia
Sophos ha descubierto una oleada de ransomware de tipo « » (armas de fuego de baja calidad), que se caracteriza por ser «de fabricación independiente, de bajo coste y de construcción rudimentaria».
Según Sophos, esta oleada se aleja del modelo tradicional de «ransomware como servicio» (RaaS) que lleva bastante tiempo inundando el panorama de las amenazas. No obstante, sigue siendo una propuesta atractiva para los ciberdelincuentes que desean introducirse en el ámbito del ransomware.
El ransomware «Junk Gun»: una visión general
Sophos ha detectado 19 variantes diferentes del ransomware «junk gun» en las direcciones June 2023 y February 2024.
De las 19 muestras, muchas se encuentran actualmente a la venta, mientras que otras figuran como en fase de desarrollo. No se dispone de muchos detalles sobre cada una de las variantes identificadas del ransomware «junk gun», pero, al menos, tres de ellas se han utilizado, al parecer, en ataques reales.
Dado que toda esta información ha sido publicada por ciberdelincuentes, es importante tener en cuenta que existe la posibilidad de que algunas de estas variantes no sean más que una estafa diseñada para engañar a otros ciberdelincuentes.
¿Cuánto cuesta el ransomware «Junk Gun»?
Todas estas variantes de ransomware de baja calidad resultan relativamente económicas en comparación con las ofertas estándar de RaaS.
De aquellos cuya precio figuraba, el precio medio fue de tan solo 375 dólares. Y solo tres de estas variedades ofrecían una especie de modelo de suscripción, mientras que el resto se ofrecían a cambio de una única cuota, lo que, una vez más, se apartaba del modelo RaaS.
Características del ransomware «Junk Gun»
Cada variante del ransomware «Junk Gun» suele presentar diferencias en cuanto a sus capacidades. Los autores de amenazas utilizan diversos métodos de cifrado, entre los que se incluyen algunos algoritmos poco comunes, como XTEA y Salsa20. Algunas variantes incluyen funciones ajenas al ransomware tradicional, como el robo de información y el registro de pulsaciones de teclas, mientras que otras variantes se centran en funciones propias del ransomware, como la eliminación de copias de seguridad de volumen y el cifrado multihilo.
Sophos intentó investigar más a fondo a los desarrolladores responsables del ransomware y descubrió que algunos de ellos pretenden mejorar su oferta de productos y, en esencia, hacer crecer su negocio. Un ejemplo de ello lo encontramos en el caso del desarrollador del ransomware Loni, que promociona su producto como superior a las ofertas de RaaS y señala que tiene la intención de ampliar su infraestructura y crear un sitio web dedicado a la filtración de datos una vez que disponga de fondos suficientes.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Dado que las variantes del ransomware «junk gun» no cuentan con sitios web dedicados a la filtración de datos, resulta difícil para los investigadores determinar su verdadero uso en el mundo real.
Esta propuesta, al estilo de las «armas de baja calidad», difiere considerablemente del modelo RaaS, pero aún así logra un objetivo similar: reducir el coste de acceso. Estas ofertas siguen permitiendo a los ciberdelincuentes de distintos niveles introducirse en el mundo del ransomware sin necesidad de contar con amplios conocimientos técnicos ni de tener acceso a redes delictivas.
Esta oferta puede resultar más atractiva para algunos ciberdelincuentes, ya que no incluye un sistema de reparto de beneficios como ocurre en las ofertas de RaaS. Tal y como resume Sophos, esto «permite a los delincuentes participar en estas actividades de forma económica, sencilla e independiente».
3. Una nueva campaña de publicidad maliciosa tiene como objetivo a los equipos de TI
La última campaña de publicidad maliciosa de Google, « » ( ), está posicionando en los primeros puestos de los resultados de los motores de búsqueda varios dominios «typosquat» que imitan a programas legítimos de análisis de direcciones IP.
La campaña tiene como objetivo distribuir una nueva puerta trasera, MadMxShell, que utiliza la carga lateral de DLL en varias etapas, se aprovecha del protocolo DNS para las comunicaciones C2 y es capaz de eludir las soluciones de seguridad basadas en el análisis forense de la memoria.
Acerca de la campaña
El autor de esta campaña ha registrado varios dominios que se hacen pasar por programas legítimos de análisis de direcciones IP, como Advanced IP Scanner, Angry IP Scanner, PRTG IP Scanner y Manage Engine.
Todos estos dominios se utilizaron en los ataques de publicidad maliciosa perpetrados en marzo. El código fuente de los sitios maliciosos es prácticamente idéntico al del sitio legítimo, salvo por una modificación que redirige al usuario para que descargue un archivo malicioso.
La puerta trasera
Zscaler analizó una muestra denominada «Advanced-ip-scanner.zip», en la que se detectó la presencia de dos archivos: un ejecutable —que es una copia renombrada del archivo legítimo «oleview.exe»— y un archivo DLL.
Cuando se ejecuta el archivo ejecutable, carga la DLL de forma alternativa y ejecuta una serie de códigos shell. En la siguiente fase, se descarga un archivo .exe de Microsoft firmado legítimamente, OneDrive.exe. A continuación, se aprovecha esta vulnerabilidad para instalar de forma no autorizada una DLL adicional con el fin de establecer la persistencia.
El malware intentará desactivar Windows Defender, configurar una tarea programada y emplear técnicas de «anti-dumping» antes de llevar a cabo las operaciones habituales de manipulación de archivos.
Además, el malware se comunicará con su « C2 » enviando y recibiendo comandos codificados en consultas MX del DNS. El malware está configurado con intervalos de tres segundos entre solicitudes, lo cual es un intervalo bastante corto y, por lo tanto, mucho más llamativo que el malware que utiliza HTTP para las comunicaciones C2 .
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los ciberdelincuentes recurren cada vez más a la publicidad maliciosa para distribuir malware entre usuarios desprevenidos, lo que pone de relieve la importancia de comprobar los enlaces que aparecen en los resultados de los motores de búsqueda antes de hacer clic en ellos sin pensarlo.
Lo que distingue a esta campaña de publicidad maliciosa es el uso de consultas MX de DNS para su comunicación « C2 ». A primera vista, parece una técnica sofisticada, pero el intervalo de tan solo tres segundos entre las solicitudes hace que resulte bastante ruidosa.
Esta campaña parece estar dirigida a usuarios del ámbito de las tecnologías de la información, teniendo en cuenta el software que simula ser. Sin embargo, parece que surgen con regularidad nuevas campañas de publicidad maliciosa dirigidas a un amplio abanico de usuarios que utilizan distintos programas.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
