En primer lugar, en el resumen de esta semana, CTI analiza una nueva campaña de malware para Linux dirigida a servidores mal configurados que ejecutan Apache Hadoop YARN, Docker, Confluence y Redis. A continuación, CTI explica cómo los autores de ataques de ransomware están utilizando una lista cada vez mayor de herramientas de exfiltración de datos en sus ataques. Por último, CTI desglosa las principales conclusiones sobre amenazas relacionadas con la nube extraídas del estudio « 2023».
1. Una campaña de malware para Linux tiene como objetivo servidores mal configurados
Se ha descubierto una nueva campaña de malware para Linux denominada « » ( ), dirigida a servidores mal configurados que ejecutan Apache Hadoop YARN, Docker, Confluence y Redis. La campaña utiliza cargas útiles no descritas hasta la fecha, al tiempo que se aprovecha de errores de configuración habituales y explota una vulnerabilidad CVE de Confluence para llevar a cabo ataques de ejecución remota de código (RCE).
Cado descubrió esta campaña tras detectar un conjunto de actividades de acceso inicial en un honeypot de la API de Docker Engine. Esta actividad consistió en ejecutar un comando de Docker que generaba un nuevo contenedor basado en Alpine Linux y creaba un montaje «bind» para el directorio raíz del honeypot dentro del contenedor.
En esta campaña, el autor de la amenaza creó un archivo ejecutable en «/usr/bin/vurl» y configuró una tarea Cron para descodificar y ejecutar algunos comandos de shell codificados. A modo de medida de seguridad adicional, el autor de la amenaza creó una tarea Cron adicional para obtener otra carga útil en caso de que el primer método fallara. Los investigadores no pudieron obtener esta carga útil adicional.
La carga útil principal
La carga útil principal de esta campaña es un sencillo script de shell. En primer lugar, se define el dominio C2 , en el que se almacenan las cargas útiles adicionales. A continuación, comprueba si existe la utilidad «chattr» y, si la encuentra, le cambia el nombre a «zzhcht». Si no se encuentra esta utilidad, se instalará una. Por último, este script de shell comprobará si el usuario actual tiene privilegios de root y seleccionará su siguiente carga útil en función de esa respuesta.
Guiones adicionales
- Ar.sh: Este script de shell prepara el equipo para un compromiso adicional mediante la aplicación de técnicas antiforenses y la descarga de cargas útiles adicionales. Este script desactivará «firewalld» y «
iptables», borrará el historial del shell, desactivará SELinux y añadirá servidores DNS públicos al archivo /etc/resolv.conf para garantizar que las solicitudes DNS salientes se realicen correctamente. El script también utilizará «shopt» para evitar que los comandos del shell se incluyan en el archivo de historial y para dificultar su análisis. A continuación, el script instalará rootkits para ocultar sus procesos y desinstalará los agentes de supervisión de Alibaba Cloud y Tencent.
Puede consultar más características de este script en , así como en el informe de Cado Security titulado «».
- Fkohts: Este es el primero de varios archivos ELF de Golang de que despliega el malware. Esto buscará y eliminará las imágenes de Docker y actualizará el archivo «/etc/hosts».
- S.sh: Esta es la siguiente etapa de la cadena de infección y se trata de otro script de shell. S.sh descargará cargas útiles adicionales y las almacenará de forma permanente en el host.
- Las utilidades de acceso inicial y de distribución —h.sh, d.sh, c.sh y w.sh— se recuperan en la etapa anterior. Estos ejecutables identificarán y aprovecharán las vulnerabilidades de los equipos en los que se ejecutan Apache Hadoop, Docker, Redis y Confluence, respectivamente.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como señala Cado Security, resulta evidente que «los atacantes dedican una cantidad considerable de tiempo a comprender los tipos de servicios web implementados en entornos en la nube, a mantenerse al corriente de las vulnerabilidades notificadas en dichos servicios y a utilizar este conocimiento para hacerse con un punto de apoyo en los entornos objetivo».
Esto realmente pone de manifiesto cuánto tiempo están dispuestos a dedicar los autores de amenazas para garantizar que sus campañas tengan el mayor éxito posible. Asimismo, reitera que, si los autores de amenazas prestan mucha atención a las vulnerabilidades notificadas y se mantienen al día en materia de tecnologías, todos nosotros también deberíamos hacerlo.
2. Los autores de ataques de ransomware diversifican sus herramientas de exfiltración de datos
Los autores de ataques de ransomware están utilizando una lista cada vez mayor de herramientas de exfiltración de datos de (se abre en una nueva pestaña) en sus ataques. Solo en los últimos tres meses, Symantec ha observado que se han utilizado al menos una docena de herramientas diferentes para la exfiltración de datos. Entre estas herramientas se encuentra cierto malware, pero, en su gran mayoría, se trata de software legítimo de doble uso que se emplea para actividades maliciosas.
Un análisis más detallado de las herramientas de exfiltración de datos
De las doce herramientas analizadas por Symantec, Rclone sigue siendo la más utilizada para la exfiltración de datos. La categoría que más rápido está creciendo en general es, como era de esperar, la de las herramientas de gestión remota.
- Rclone: Se trata de una herramienta de código abierto que se utiliza para gestionar contenidos en la nube. Los autores de amenazas se aprovechan de ello para sustraer datos.
- AnyDesk, ScreenConnect, Atera y TightNVC: se trata de herramientas legítimas de escritorio remoto y supervisión remota que pueden utilizarse para obtener acceso al ordenador de una víctima.
- RDP: Este protocolo permite que un ordenador controle otro dispositivo. Los autores de amenazas suelen intentar habilitar esta función para poder utilizar herramientas que emplean el protocolo RDP.
- Cobalt Strike: Se trata de una herramienta comercial de uso común que permite «ejecutar comandos, inyectar otros procesos, elevar los privilegios de los procesos actuales o suplantar la identidad de otros procesos, así como cargar y descargar archivos».
- WinRAR: Este gestor de archivos se utiliza para comprimir archivos y puede ser empleado por un actor malintencionado para preparar archivos con el fin de su exfiltración.
- Restic: Se trata de una herramienta de copia de seguridad de código abierto que se ejecuta desde la línea de comandos. Está diseñado para funcionar con múltiples plataformas y es compatible con sistemas de almacenamiento como directorios locales, Amazon S3 y Azure.
- WinSCP: Se trata de un cliente SFTP y FTP legítimo para Windows.
- Pandora RC: Anteriormente conocida como eHorus, Pandora RC es una herramienta legítima de acceso remoto. Cuenta con agentes para Windows, Linux y Mac, y los autores de amenazas lo utilizan para instalar herramientas adicionales.
- Chisel: Chisel es una herramienta de proxy de código abierto que establece conexiones cifradas a través de un túnel. Se utiliza de forma indebida durante los ataques de ransomware para crear estos túneles hacia la infraestructura de un actor malicioso con el fin de sustraer datos.
Caso práctico: Rclone
Symantec analizó en profundidad un ataque de ransomware RagnarLocker que utilizaba Rclone, una herramienta que los autores de amenazas suelen emplear para extraer datos del entorno de la víctima. Por lo general, el autor de la amenaza lo instala tras obtener el acceso inicial. Debido a que se utiliza con tanta frecuencia, los autores de amenazas han comenzado a cambiar el nombre de Rclone para que parezca otra cosa, como svchost.exe.
Un ejemplo de ello se observó en un ataque de RagnarLocker el año pasado. Este ataque dio lugar a una investigación después de que se ejecutaran comandos de PowerShell para desactivar las protecciones de LSA. A continuación, el actor ejecutó netscan.exe, otra herramienta de acceso público, para detectar nombres de host y otros servicios de red.
Tras implementar Mimikatz y LaZagne para la extracción de credenciales, el actor utilizó varias herramientas de tipo «living off-the-land» (LotL) para recopilar información y ejecutar comandos, y habilitó el RDP para el acceso remoto. A continuación, los participantes recurrieron a Rclone para copiar datos de recursos compartidos en red. Se establecieron conexiones mediante Rclone con diversas direcciones URL de put[.]io con el fin de extraer datos. El ataque concluyó con la instalación del ransomware RagarLocker y el cifrado de los archivos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los autores de amenazas recurren cada vez más a herramientas legítimas en sus ataques para eludir la detección. A medida que el sector se percató de esta tendencia, los autores de las amenazas volvieron a cambiar de estrategia para empezar a utilizar herramientas menos conocidas (o sobre las que se informa menos) o para cambiar el nombre de las herramientas que ya utilizaban.
Puede resultar complicado supervisar el uso de herramientas legítimas e identificar los casos en los que se utilizan con fines maliciosos. Symantec ha facilitado algunas medidas de mitigación de (se abre en una nueva pestaña) que podrían resultarle útiles.
3. Cado da a conocer su informe sobre las principales conclusiones relativas a las amenazas en la nube para el año 2H23
Cado Security ha publicado su informe « : Cloud Threat Findings» ( ) correspondiente al segundo semestre de 2023. El informe tiene por objeto ayudar a los equipos de seguridad a protegerse frente a los autores de amenazas centrados en la nube y analiza en profundidad varias campañas de malware basadas en la nube.
Cado Security también integra los datos recopilados a partir de su infraestructura de «honeypots» con sus conclusiones técnicas para describir las amenazas actuales centradas en la nube.
Los atacantes conocen a la perfección los servicios en la nube
Según los datos de Cado Security, los atacantes cuentan ahora con un profundo conocimiento de servicios en la nube como Docker, Redis y Jupyter. Cado Security detectó que se estaban utilizando conocimientos específicos de Docker contra su propio honeypot e identificó a los autores de las amenazas que intentaban escapar de los contenedores creados montando el sistema de archivos del host. Del mismo modo, observaron que los autores de amenazas aprovechaban y hacían un uso indebido de Redis.
Docker sigue siendo un objetivo muy atractivo
Docker siguió siendo el servicio más atacado para obtener acceso inicial en 2023, representando aproximadamente el 90 % del tráfico de los honeypots de Cado Security (sin tener en cuenta el SSH).
El K8s quedó en segundo lugar, con un porcentaje de solo el 7.61 %. Cado Security observó a lo largo del año varias campañas de larga duración centradas en Docker, entre ellas dos que aprovechaban puntos finales expuestos de la API de Docker para ejecutar código malicioso.
Conclusiones adicionales del informe de Cado
Cado Security ha observado que los autores de amenazas siguen aprovechando vulnerabilidades en servicios expuestos a Internet en entornos en la nube como Docker, Redis, Kubernetes y Jupyter.
Además, la mayoría de las campañas relacionadas con la nube y Linux consistían en el secuestro de recursos con el fin de minar criptomonedas. Sin embargo, el criptojacking ya no es el único objetivo de los autores de amenazas en la nube. Además, actualmente se están produciendo campañas que se apropian indebidamente de diversos servicios SMTP (Protocolo simple de transferencia de correo) en la nube para llevar a cabo ataques de spam a gran escala.
Por último, Cado ha observado una tendencia sobre la que ya han informado muchos otros, a saber, el aumento del malware escrito en Rust y Golang, que permite a los desarrolladores compilar su código para más de un sistema operativo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los informes de Cado han adquirido una importancia cada vez mayor, a medida que son cada vez más las empresas que adoptan tecnologías en la nube.
Una de las conclusiones clave de este informe es que los atacantes «se centran cada vez más en servicios como Docker, Redis, Kubernetes y Jupyter, cuya explotación requiere conocimientos técnicos especializados, distintos de los necesarios para atacar servidores genéricos de Linux».
Este hallazgo por sí solo pone de manifiesto hasta qué punto se están volviendo cada vez más sofisticados los autores de las amenazas. Asimismo, esto indica que es probable que los autores de las amenazas estén dedicando una gran cantidad de tiempo a comprender y desarrollar las habilidades necesarias para aprovechar determinados servicios en la nube. Dicho esto, es evidente que los autores de las amenazas deben estar obteniendo un retorno de la inversión al centrar sus ataques en los servicios en la nube.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
