En primer lugar, en el resumen de esta semana, CTI ofrece una visión general de un preocupante informe de Microsoft sobre el descubrimiento de una operación destructiva que incluye ataques contra activos pertenecientes tanto a entornos locales como a entornos en la nube.
CTI concluye con un resumen de la última campaña de ciberespionaje del grupo de ciberamenazas ruso Nobelium, basado en un aviso del Servicio de Contrainteligencia Militar de Polonia.
1. Mercury y DEV-1084: ataque destructivo en un entorno híbrido
Microsoft Threat Intelligence ha descubierto (se abre en una nueva pestaña)operaciones destructivas que atacaban tanto entornos locales como en la nube.
Los ataques han sido perpetrados por Mercury —un actor malicioso de ámbito estatal respaldado por Irán— que, probablemente, colaboró con el actor DEV-1084 para llevar a cabo acciones destructivas tras la explotación y pasar de un entorno local a la nube durante el ataque.
El ataque intenta hacer pasar esta actividad por una campaña tradicional de ransomware, con el objetivo último de causar destrucción y trastornos.
- Mercury: Mercury, también conocido como «MuddyWater» (se abre en una nueva pestaña), es un actor malicioso de ámbito estatal vinculado al Gobierno iraní. Más concretamente, se ha relacionado a Mercury con el Ministerio de Inteligencia y Seguridad de Irán (MOIS). Los ataques anteriores perpetrados por Mercury se han dirigido exclusivamente a entornos locales de organismos públicos y organizaciones privadas de diversos sectores, entre los que se incluyen las telecomunicaciones, la administración local, la defensa, el petróleo y el gas natural. Sus víctimas anteriores se han concentrado principalmente en Oriente Medio, Asia, África, Europa y América del Norte. Mercury, además , saltó a la palestra (se abre en una nueva pestaña)el año pasado, cuando se sumó a la tendencia para aprovechar los vulnerabilidades Log4j y 2 .
- DEV-1084: DEV-1084 es otro actor malicioso iraní al que Microsoft ha estado siguiendo y del que se cree que ha colaborado con Mercury en su última campaña. DEV-1084 ha adoptado públicamente la identidad de DarkBit a principios de este año como parte de un ataque de ransomware y extorsión de tipo «» dirigido contra el Technion (se abre en una nueva pestaña). Este ataque se dirigió contra Israel mediante opciones de línea de comandos y rutinas de cifrado optimizadas.
Los vínculos entre estos dos grupos de amenazas se deben a solapamientos en la infraestructura, las direcciones IP y las herramientas utilizadas. Por el momento, no está claro cuál es la relación exacta entre estos dos grupos de ciberdelincuentes, ni si operan de forma independiente o si DEV-1084 es un subgrupo de Mercury que solo entra en acción cuando se ordena a los operadores de Mercury que lleven a cabo este tipo de ataques destructivos.
Ataque en un entorno híbrido
Microsoft considera que Mercury consigue el acceso inicial mediante la explotación remota de un dispositivo conectado a Internet que no cuenta con los parches correspondientes. A continuación, parece que Mercury cede el acceso a DEV-1084.
Al parecer, los autores del ataque realizaron varios intentos durante su intrusión inicial y, finalmente, lograron su objetivo aprovechando aplicaciones vulnerables que se encontraban expuestas.
Tras obtener acceso, los autores de la amenaza procedieron a utilizar diversas herramientas y técnicas para establecer la persistencia. Entre ellos se incluían:
- Instalación de shells web
- Creación de cuentas de usuario locales antes de elevar los privilegios a administrador local
- Instalación de herramientas legítimas de acceso remoto, entre las que se incluyen RPort, Ligolo y eHorus
- Instalación de una puerta trasera personalizada mediante el script de PowerShell « »
- Robo de credenciales
A continuación, los autores de la amenaza llevaron a cabo actividades de reconocimiento utilizando herramientas y comandos nativos de Windows, como «netstat» y «nltest».
Gracias a las credenciales sustraídas, los autores del ataque pudieron llevar a cabo acciones de movimiento lateral dentro del entorno. Entre estas acciones se incluyen tareas programadas de forma remota para iniciar una puerta trasera personalizada de PowerShell, el uso de WMI para ejecutar comandos y servicios remotos para ejecutar comandos de PowerShell codificados. Los nuevos dispositivos infectados se vieron afectados por los mismos mecanismos de persistencia que se han enumerado anteriormente.
Microsoft señala que los autores de las amenazas esperaban a veces semanas (y, en algunos casos, meses) antes de pasar a la siguiente fase de la cadena de ataque.
Repercusiones en las instalaciones
Los autores del ataque interfirieron en las herramientas de seguridad a través de los objetos de política de grupo (GPO) y aprovecharon las credenciales con privilegios elevados para acceder a los controladores de dominio. Esto les permitió prepararse para el cifrado a gran escala.
Se utilizó GPO para registrar una tarea programada con el fin de ejecutar el ransomware, que se había cargado previamente en los recursos compartidos NETLOGON de varios controladores de dominio. La carga útil del ransomware cifra los archivos que encuentra en el sistema y les añade la extensión DARKBIT.
De las instalaciones locales a la nube
Los autores del ataque interfirieron en las herramientas de seguridad a través de los objetos de política de grupo (GPO) y aprovecharon las credenciales con privilegios elevados para acceder a los controladores de dominio. Esto les permitió prepararse para el cifrado a gran escala. Se utilizó GPO para registrar una tarea programada con el fin de ejecutar el ransomware, que se había cargado previamente en los recursos compartidos NETLOGON de varios controladores de dominio. La carga útil del ransomware cifra los archivos que encuentra en el sistema y les añade la extensión DARKBIT.
Repercusiones de la nube
Los autores del ataque lograron eliminar de forma masiva recursos de Azure, hacer un uso indebido de la API de Exchange Web Server y suplantar la identidad en el correo electrónico.
- Eliminación de recursos de Azure: Los autores del ataque obtuvieron el permiso de «Administrador global» a través de PIM (Azure Privileged Identity Management) y ampliaron dicho acceso para obtener permisos sobre grupos de administración y suscripciones de Azure. Esta cuenta de administrador comprometida, junto con la cuenta de Azure AD Connector, se utilizaron para destruir el entorno de Azure. La destrucción incluyó la eliminación de granjas de servidores, máquinas virtuales, cuentas de almacenamiento y redes virtuales en tan solo unas horas.
- Uso indebido de la API de Exchange Web Server: Los autores del ataque obtuvieron acceso completo a los buzones de correo a través de Exchange Web Services, tras proporcionar a una aplicación OAuth legítima los permisos adecuados y el consentimiento del administrador. Estos privilegios permitieron al autor de la amenaza actualizar la aplicación OAuth con certificados para llevar a cabo actividades maliciosas. A continuación, los autores del ataque utilizaron los permisos de esta aplicación para realizar operaciones «GetItem» y llevar a cabo miles de búsquedas, posiblemente con el fin de extraer datos de los buzones de correo o de buscar información confidencial en ellos.
- Suplantación de identidad por correo electrónico: . La cuenta de administrador comprometida se utilizó para conceder permisos SMTP de «envío en nombre de» a la cuenta de Azure AD Connector. Esta acción se llevó a cabo en el buzón de correo de un empleado de alto rango mediante el cmdlet «Set-Mailbox» de PowerShell. A continuación, se redactaron y enviaron correos electrónicos tanto a destinatarios internos como externos.
Extracción de credenciales
Se utilizaron credenciales comprometidas para acceder al dispositivo Azure AD Connect dos semanas antes de la instalación del ransomware. En ese momento, los autores del ataque establecieron un túnel SSH hacia un dispositivo controlado por ellos.
Poco antes de la instalación del ransomware, una dirección IP de un atacante conocido se autenticó en la cuenta en la nube de Azure AD Connector. Este inicio de sesión no implicó adivinar ni modificar la contraseña de la cuenta, lo que indica que es probable que el autor de la amenaza dispusiera de la contraseña de dicha cuenta.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Las campañas híbridas que se dirigen tanto a entornos locales como a entornos en la nube en un mismo ataque no son algo que veamos todos los días». «Es cierto que puede haber malware con múltiples variantes capaz de atacar tanto entornos locales como en la nube, pero el hecho concreto de pasar de un entorno local a la nube en un mismo ataque es mucho menos frecuente entre los autores de amenazas a los que seguimos actualmente».
«En la misma línea, el cambio de Mercury, que ha pasado de centrarse exclusivamente en entornos locales a llevar a cabo ataques tanto en entornos locales como en la nube, marca una posible evolución en la metodología adoptada por los actores que conforman el panorama de amenazas, lo que pone de relieve el aumento de los ataques dirigidos a la nube.» Esta campaña se basa en tácticas, técnicas y procedimientos (TTP) que no son necesariamente nuevos ni innovadores. «Por ejemplo, el robo de credenciales, la escalada de privilegios, la instalación de web shells y la aplicación de políticas de grupo maliciosas son prácticas que ya hemos observado en campañas anteriores».
«Lo que distingue a esta campaña es la forma tan eficaz en que combina estas técnicas, tácticas y procedimientos (TTP) para obtener acceso a dos tipos distintos de entornos de red». Aunque este ataque parece haber sido perpetrado por dos actores maliciosos que actúan de forma conjunta, ambos grupos de actividades parecen estar vinculados al actor malicioso principal con sede en Irán, MuddyWater. Esto no es de extrañar, ya que los actores maliciosos respaldados por el Estado iraní son conocidos por subcontratar determinadas partes de sus operaciones».
2. Hackers rusos vinculados a una serie de ataques generalizados dirigidos contra la OTAN y la UE
Según un comunicado del Servicio de Contrainteligencia Militar de Polonia, su Equipo de Respuesta a Emergencias Informáticas ha relacionado al grupo de hackers APT29 , patrocinado por el Estado ruso —o Nobelium (se abre en una nueva pestaña) —, con una reciente oleada de ataques generalizados dirigidos tanto a países de la OTAN como de la Unión Europea (UE), en el marco de una amplia campaña de ciberespionaje.
Detalles de la campaña
Si bien el aviso de CERT.PL, publicado por ( ) (se abre en una nueva pestaña) , hace hincapié en que la campaña sigue en marcha, parece que el objetivo principal de la operación de Nobelium es la recopilación a gran escala de información sensible, del tipo que se ajusta a los objetivos del Gobierno ruso y contribuye a su consecución. Entre los objetivos se encuentran las representaciones diplomáticas de la OTAN y los ministerios de Asuntos Exteriores de los países de la UE, así como de naciones africanas.
En lo que respecta a la victimología y a los patrones de selección de víctimas, este no es, en absoluto, un terreno desconocido para Nobelium. Sin embargo, CERT.PL señala que, a pesar de que la infraestructura y las TTP coinciden en parte (o en su totalidad) con la actividad previa de Nobelium, el software específico utilizado durante esta campaña distingue a esta operación, ya que, al parecer, no se había «descrito públicamente» con anterioridad.
El informe afirma que se implementaron nuevas herramientas tanto simultáneamente como de forma independiente entre sí; la idea es que Nobelium está sustituyendo metódicamente aquellas herramientas cuya eficacia está disminuyendo, lo que permite al actor mantener su elevado ritmo operativo habitual (OPTEMPO).
Detalles del ataque
Tal y como se describe en el aviso de CERT.PL, el desarrollo de los ataques que conforman esta campaña comenzó en todos los casos con ataques de spear phishing, en los que se enviaron correos electrónicos que se hacían pasar por embajadas europeas a personal concreto que ocupaba puestos diplomáticos.
- Los mensajes contenían bien una invitación a una reunión, bien una solicitud de colaboración en la elaboración de documentos.
- En cada mensaje se incluía un enlace; bien en el cuerpo del correo electrónico, bien en un documento PDF adjunto.
- El enlace se diseñó para que pareciera que permitía al destinatario acceder a la agenda del embajador suplantado, consultar los detalles de las reuniones o dirigir a la víctima a un archivo descargable.
En realidad, el enlace redirigía a los destinatarios a un sitio web comprometido que contenía un script malicioso, un fragmento de código conocido públicamente como ENVYSCOUT (se abre en una nueva pestaña) — un «dropper» que Nobelium ha venido utilizando al menos desde el 2021.
De CERT.PL:
Utiliza la técnica denominada «HTML Smuggling», mediante la cual un archivo malicioso incluido en la página se descodifica mediante JavaScript al abrirla y, a continuación, se descarga en el dispositivo de la víctima. Esto hace que el archivo malicioso resulte más difícil de detectar en el servidor donde se almacena. La página web también mostraba un mensaje destinado a tranquilizar a la víctima y asegurarle que había descargado el archivo adjunto correcto.
Según el aviso, el atacante desplegó tres versiones diferentes de ENVYSCOUT, incorporando progresivamente nuevos mecanismos para eludir la detección y dificultar el análisis a medida que avanzaba la campaña.
Cambios en los formatos de archivo
CERT.PL señala que las campañas anteriores atribuidas a Nobelium solían utilizar archivos .ZIP o .ISO para distribuir malware. En esta campaña, el adversario ha incorporado el uso de archivos .IMG a su repertorio habitual.
Dado que las imágenes de disco con extensión .ISO e .IMG se montan automáticamente en el sistema de archivos al abrirlas, su contenido se muestra en el Explorador de Windows. Además, estos tipos de archivo no presentan la «marca de la web» (MOTW), lo que significa que Windows no advertirá al usuario de que los archivos proceden de Internet.
El atacante utilizó diversas técnicas para incitar a las víctimas a ejecutar el malware.
De CERT.PL:
Uno de ellos era un archivo de acceso directo de Windows (LNK) que se hacía pasar por un documento, pero que en realidad ejecutaba una biblioteca DLL oculta con las herramientas del autor del ataque. También se observó la técnica de «sideloading» de DLL, que consiste en utilizar un archivo ejecutable firmado para cargar y ejecutar el código contenido en una biblioteca DLL oculta, colocándola en el mismo directorio con un nombre elegido en función de las entradas de la tabla de importación. En una fase posterior de la campaña, el nombre del archivo ejecutable contenía muchos espacios para que resultara más difícil detectar la extensión «exe».
Herramientas utilizadas
Además de ENVYSCOUT, Nobelium utilizó diversas herramientas en las distintas fases de la campaña. Se incluyen en la siguiente lista de CERT.PL, con enlaces a un análisis técnico detallado de cada uno de ellos:
- SNOWYAMBER (se abre en una nueva pestaña): una herramienta utilizada por primera vez en October 2022, que aprovecha el protocolo Notion7 service para comunicarse y descargar más archivos maliciosos. Se han observado dos versiones de esta herramienta.
- HALFRIG (se abre en una nueva pestaña): utilizado por primera vez en February 2023. Esta herramienta se distingue de las demás por el código integrado que ejecuta la herramienta COBALT STRIKE.
- QUARTERRIG (se abre en una nueva pestaña): una herramienta utilizada por primera vez en March 2023, que comparte parte del código con HALFRIG. Se observaron dos versiones de esta herramienta.
De CERT.PL:
Las herramientas SNOWYAMBER y QUARTERRIG se utilizaron como los denominados «downloaders». Ambas herramientas enviaron al autor tanto la dirección IP como el ordenador y el nombre de usuario. Se utilizaron para evaluar si la víctima resultaba de interés para el autor y si se trataba de un entorno de análisis de malware. Si la estación de trabajo infectada superaba la verificación manual, se utilizaban los programas de descarga mencionados anteriormente para distribuir y poner en marcha las herramientas comerciales COBALT STRIKE o BRUTE RATEL. HALFRIG, por su parte, funciona como lo que se conoce como «cargador»: contiene la carga útil COBALT STRIKE y la ejecuta automáticamente.
Si bien esta campaña es en cierto modo singular, ya que supone la aparición de un nuevo malware (que fue objeto de diversas actualizaciones y modificaciones a lo largo de su desarrollo), el CERT.PL describe varios de los elementos de la operación como repetibles y enumera específicamente los siguientes atributos del ataque:
- La forma en que se construye la infraestructura. El autor de la campaña de espionaje prefiere utilizar sitios web vulnerables pertenecientes a entidades aleatorias.
- Tema del correo electrónico. Todos los correos electrónicos obtenidos que se utilizaron en las campañas se basaban en el tema de la correspondencia entre entidades diplomáticas.
- El uso de una herramienta conocida públicamente como ENVYSCOUT. El actor lleva utilizando este guion desde, al menos, el año 20219. Durante la campaña se observaron modificaciones en el código de la herramienta, pero estas no afectaron de manera significativa a su funcionalidad.
- Se facilitó a la víctima un enlace a la herramienta ENVYSCOUT ( ) en forma de enlace incluido en el cuerpo del correo electrónico o en el cuerpo de un archivo PDF adjunto.
- Uso de imágenes de disco ISO e IMG.
- Se utiliza una técnica denominada «DLL Sideloading» , que emplea un archivo ejecutable no malicioso y firmado digitalmente para iniciar las herramientas del actor.
- Uso de herramientas comerciales como , COBALT STRIKE y BRUTE RATEL.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Cabe señalar que las directrices relativas a esta vulnerabilidad de seguridad concreta existen desde abril de 2021. Aunque incluir las palabras «zero-day» en el titular de una entrada de blog sin duda llama la atención, existe desacuerdo entre los profesionales de la ciberseguridad sobre si esta falla concreta constituye realmente un ejemplo de vulnerabilidad «zero-day».
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
