En el resumen de esta semana, CTI comienza con una investigación sobre el hallazgo de seis paquetes maliciosos en el Python Package Index (PyPI). A continuación, analizaremos en profundidad las últimas noticias sobre el marco de malware «Raspberry Robin», capaz de propagarse como un gusano, que está mostrando mejoras significativas en su funcionalidad y parece seguir un nuevo patrón de ataque, como lo demuestra el hecho de que haya afectado a instituciones financieras y aseguradoras en Europa. El resumen «The Roundup» concluye con el análisis realizado por CTI de un reciente ataque de malware de IcedID, en el que el autor de la amenaza logró comprometer Active Directory y el dominio en menos de 24 horas tras obtener el acceso inicial.
1. Los paquetes maliciosos de PyPI utilizan los túneles de Cloudflare para burlar los cortafuegos
Phylum ha detectado seis paquetes maliciosos de en el Python Package Index (PyPI) , que es el repositorio oficial de software de terceros de Python. Se descubrió que los paquetes instalaban troyanos de acceso remoto (RAT) y malware destinado al robo de información, al tiempo que utilizaban Cloudflare Tunnel para eludir las restricciones del cortafuegos y permitir el acceso remoto.
Cómo se produjo el descubrimiento
Phylum señaló por primera vez un paquete llamado «pyrologin» en December 22, 2022. A primera vista, este paquete parecía ser un malware estándar de Python, salvo por la descarga de un archivo zip y algunas cadenas que contenían código de PowerShell. Posteriormente, en December 28, descubrieron un paquete malicioso similar denominado «easytimestamp». Al día siguiente, se descubrieron «discorder» y «discord-dev», que, una vez más, presentaban similitudes con el «pyrologin» original. Y, por último, en December 31, los investigadores descubrieron «style[.]py» y «pythonstyles», ambos similares a los hallazgos originales.
El descubrimiento de este y de muchos otros paquetes maliciosos similares sugiere que no se trató de una publicación aislada, sino que formaba parte de un ataque de mayor envergadura.
Los seis paquetes maliciosos detectados por Phylum han sido descargados en numerosas ocasiones y, desde entonces, han sido eliminados de PyPI:
- pyrologin — 165 descargas
- easytimestamp – 141 descargas
- discorder – 83 descargas
- discord-dev – 228 descargas
- style.py — 193 descargas
- pythonstyles – 130 descargas
La instalación de uno de estos paquetes maliciosos puede dar lugar a las siguientes situaciones:
- La filtración de información confidencial
- Persistencia establecida
- Instalación de un programa de registro de pulsaciones de teclas
- Instalación de un túnel de Cloudflare
- Inicio de una aplicación «flask», a la que el atacante accede a través del túnel mencionado anteriormente
Por qué debería importarle
Según Phylum, este malware es como «un RAT potenciado». Incluye las funciones básicas de un RAT integradas en una interfaz gráfica de usuario web, con capacidad de escritorio remoto y un programa de robo de datos.
Por lo tanto, incluso si un atacante no consigue establecer persistencia o no logra que funcione una herramienta de escritorio remoto, el módulo de sustracción seguirá extrayendo los datos que encuentre.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Los hallazgos de Phylum constituyen otro ejemplo de cómo los atacantes se centran en los repositorios de paquetes de código abierto para llevar a cabo ataques de tipo cadena de suministro, algo que probablemente continuará en el futuro».
«Lo que hace que este caso sea más singular en comparación con algunos de los paquetes de código abierto maliciosos identificados anteriormente es el uso del software legítimo Cloudflare Tunnel para acceder de forma remota al equipo afectado. Cloudflare Tunnel le permite proteger y cifrar el tráfico hacia cualquier tipo de infraestructura sin necesidad de una dirección IP enrutable públicamente, y permite que los servidores web estén disponibles públicamente a través de Cloudflare sin necesidad de configurar cortafuegos».
2. El nuevo malware «Raspberry Robin» ataca a entidades financieras de Portugal y España
Los piratas informáticos están utilizando actualmente el marco de malware automatizado y «propagable como un gusano», conocido como Raspberry Robin, para atacar a entidades financieras y aseguradoras españolas y portuguesas.
Este gusano actúa como cargador de otro malware y se propaga a otros dispositivos dentro de las redes de las víctimas. Según Security Joes, Raspberry Robin es un «, un marco automatizado bien diseñado» que «permite a los atacantes, tras la infección, evadir la detección, desplazarse lateralmente y aprovechar las infraestructuras en la nube de confianza de proveedores conocidos de alojamiento de datos, como Discord, Azure y GitHub...».
Una mirada retrospectiva a Raspberry Robin
CTI lleva realizando un seguimiento de «Raspberry Robin» desde July 2022. Nuestra investigación nos llevó a realizar un análisis exhaustivo del malware de Red Canary, que fue quien detectó por primera vez el grupo de actividades maliciosas asociado en September 2021.
En aquel momento, el malware se describió como un gusano que suele instalarse a través de una memoria USB. La victimología abarcaba organizaciones vinculadas al sector tecnológico y al sector manufacturero. Ese mismo mes, Microsoft relacionó a Raspberry Robin con la famosa organización rusa dedicada a la ciberdelincuencia conocida como Evil Corp.
Lo último sobre Raspberry Robin
Según The Record, Raspberry Robin sigue infectando ordenadores a través de dispositivos USB comprometidos, por lo que no ha cambiado mucho en lo que respecta al vector de intrusión inicial de este marco de trabajo. Sin embargo, Security Joes informa de que la última variante del malware es más compleja que las versiones anteriores, lo que permite a sus operadores recopilar una cantidad mucho mayor de datos de sus objetivos.
Los investigadores de Security Joes añaden que la singularidad de Raspberry Robin radica en su elevado grado de ofuscación y en la dificultad que entraña cualquier intento de desensamblar estáticamente el malware.
«Parece que los desarrolladores se han dedicado a incorporar medidas de protección en su código para eludir las herramientas de seguridad y las miradas indiscretas de los analistas de malware», señala el informe.
Al parecer, sus desarrolladores también han añadido otra capa de cifrado, por lo que los datos de las víctimas ya no se pueden ver en texto sin cifrar, sino que están cifrados con el cifrado RC4 . Sin embargo, los investigadores mencionados anteriormente no se desanimaron y, en los dos casos a los que respondieron este mes, estos analistas, que no se dejaron intimidar, lograron «separar el programa de descarga de su envoltorio principal y descubrir el malware que apuntaba al marco Raspberry Robin antes mencionado».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El gusano Raspberry Robin forma parte activa de un complejo ecosistema de malware, y su lista de víctimas es cada vez más variada. «Su estructura se ha utilizado para atacar a organizaciones de todo el mundo, lo que ha permitido infiltrarse en redes pertenecientes a entidades vinculadas a los sectores de la tecnología, la industria manufacturera, las telecomunicaciones, la administración pública y, ahora, las finanzas y los seguros».
«Según Microsoft, solo en October 2022 , casi 3,000 dispositivos de casi 1,000 organizaciones recibieron al menos una alerta relacionada con la carga útil de Raspberry Robin. Teniendo en cuenta todo esto —además del hecho de que parece estar en constante desarrollo y ser objeto de frecuentes actualizaciones—, Raspberry Robin se ha convertido claramente en una amenaza de talla mundial. »
«Aunque Raspberry Robin parecía no tener ninguna finalidad cuando se descubrió por primera vez, ha evolucionado y se encamina hacia un impacto potencialmente devastador en los entornos en los que aún está instalado», afirma un informe de Microsoft Security Threat Intelligence ( ) de octubre.
«Es muy probable que el desarrollo de Raspberry Robin continúe hasta bien entrado el año 2023, y el marco de trabajo contribuirá sin duda a facilitar una mayor distribución de malware y la actividad delictiva en el ciberespacio».
3. El malware IcedID ataca de nuevo: un dominio de Active Directory ha sido comprometido en menos de 24 horas
El malware IcedID, también conocido en ocasiones como BokBot, lleva presente desde en least 2017. Se sabe, por lo que se ha observado a lo largo de la historia, que se trata de un troyano bancario utilizado para sustraer información financiera a sus víctimas. Más recientemente, IcedID se está utilizando como «dropper» para otras familias de malware y como herramienta para los intermediarios de acceso inicial.
Un análisis reciente de amenazas de Cybereason, publicado en , analiza en profundidad un ataque de malware IcedID, que permitió al autor de la amenaza comprometer el dominio de Active Directory de su objetivo en menos de 24 horas tras obtener el acceso inicial.
Detalles del ataque
El informe de Cybereason desglosa los métodos de infección empleados en el equipo «paciente cero», que los atacantes utilizaron como punto de apoyo para el resto del ataque.
A grandes rasgos, la víctima abre un archivo comprimido, hace clic en un archivo ISO que crea un disco virtual, hace clic en un archivo LNK que descarga un archivo DLL, dicho archivo DLL establece conexiones con los dominios de IcedID y, a continuación, la carga útil de IcedID se carga en el proceso.
Las infecciones por IcedID observadas anteriormente comienzan cuando la víctima abre un archivo ZIP protegido con contraseña que contiene un archivo ISO. Al hacer doble clic en el archivo, los archivos ISO se montarán automáticamente como un directorio de solo lectura, que contiene una carpeta oculta y un archivo LNK. Esta carpeta oculta contiene un archivo por lotes ofuscado y una carga útil en formato DLL.
Al hacer clic en el acceso directo o en el archivo LNK, se ejecutará el archivo por lotes que se encuentra en el directorio oculto. El archivo por lotes ejecutará un programa ejecutable para copiar y colocar el archivo DLL en el directorio temporal, donde se ejecutará.
Detalles técnicos
Movimiento lateral: El atacante parece seguir un procedimiento estándar en lo que respecta al movimiento lateral. En primer lugar, se conectó a otro equipo menos de una hora después de la infección inicial y, a continuación, utilizó ping[.]exe para determinar si el equipo estaba conectado a Internet o no. Se utilizó el archivo «Wmic[.]exe» para ejecutar una DLL de forma remota en la estación de trabajo.
Una vez que el atacante se hubo establecido en el servidor remoto, ejecutó un beacon de Cobalt Strike denominado gv[.]dll. Este proceso se llevó a cabo en toda la red, utilizando ping[.]exe para comprobar que los hosts estuvieran conectados, desplazándose lateralmente a través de WMI y ejecutando cargas útiles de Cobalt Strike para establecer un punto de apoyo. Cybereason observó que el atacante fue capaz de desplazarse lateralmente hasta un servidor Windows interno gracias a unas credenciales comprometidas mediante «kerberoasting». La cuenta disponía de privilegios de administrador de dominio.
Persistencia: El atacante tomó prestada una técnica de «» de Conti , en la que se instala la herramienta RMM AteraAgent en varios equipos. Atera es una herramienta legítima que se utiliza para la administración remota y que fue empleada por la banda Conti para recuperar el acceso persistente a los entornos infectados y evitar ser detectados. El uso de Atera permite al atacante crearse una puerta trasera adicional por si se descubren o se corrigen sus mecanismos iniciales de persistencia. Las líneas de comando ejecutadas durante la instalación de AteraAgent revelan un error cometido por el atacante: un error ortográfico en el dominio outlook[.]it.
Robo de credenciales: El primer caso de robo de credenciales se produjo tan solo 15 minutos después de la infección inicial mediante «kerberoasting». Se utilizó Kerberoasting para obtener los hash de las cuentas de servicio del dominio. Tras desplazarse lateralmente hasta un servidor de archivos y elevar sus privilegios a través de los servicios, el atacante llevó a cabo con éxito un ataque DCSync, un tipo de ataque que permite al actor malicioso suplantar la identidad de un controlador de dominio y solicitar hash de contraseñas a otros controladores de dominio. Esto permitió al atacante acabar comprometiendo el dominio.
Infiltración en navegadores: IcedID tiene un historial de intentos de infiltrarse en navegadores como Firefox o Chrome para intentar robar credenciales y cookies. Una vez cargado el bot principal, los investigadores observaron un comportamiento de «hooking» en Chrome.
de reconocimiento: El ataque utilizó varios comandos de reconocimiento distintos que se ejecutaron como parte del módulo «SysInfo» del bot IcedID. Se utilizó Net[.]exe para obtener información sobre el sistema operativo y Active Directory, y se utilizó ping[.]exe para comprobar si los equipos remotos estaban conectados a Internet con el fin de realizar movimientos laterales.
El atacante también utilizó nltest[.]exe para extraer información de Active Directory y PowerShell para localizar recursos compartidos no estándar dentro de la red. Por último, se ejecutó el comando «wuauclt.exe /detectnow» para comprobar si faltaban actualizaciones o parches.
Análisis de la red: Se utilizó la herramienta legítima «netscan» para analizar la red, y los resultados del análisis se guardaron en un archivo XML local. Esta es otra técnica más que se tomó prestada de Conti.
Exfiltración de datos: Se observó que el atacante utilizaba copias renombradas del popular software de sincronización de archivos «rclone» para cifrar y sincronizar directorios con el servicio de intercambio de archivos «Mega». Rclone está ganando cada vez más popularidad entre los autores de amenazas, hasta el punto de que incluso LockBit lo utiliza para la exfiltración de datos.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La capacidad de un atacante para comprometer Active Directory en 24 horas no es algo totalmente inaudito, pero sí sirve para recordar la rapidez con la que pueden producirse los incidentes y lo importante que es reaccionar a tiempo ante cualquier actividad anómala en la red». Este ataque también pone de manifiesto lo habitual que es que los autores de amenazas y las bandas de ransomware reutilicen o compartan (o, en algunos casos, simplemente roben) las TTP entre sí, tal y como demuestra el hecho de que el autor de la amenaza haya adaptado las técnicas conocidas de Conti, tal y como se ha destacado anteriormente.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
