En primer lugar, en el resumen de esta semana, analizaremos quiénes son los desarrolladores responsables del famoso malware «Raccoon Stealer» y el fin de su ausencia de los foros de hackers. A continuación, CTI aborda el análisis realizado por Mandiant sobre el interés de los actores maliciosos en las capacidades de la inteligencia artificial. Por último, CTI concluye con un análisis detallado de la operación del ransomware Monti tras una pausa de dos meses.
1. Vuelve a aparecer el malware «Raccoon Stealer»
Los desarrolladores responsables del famoso malware « » (Raccoon Stealer) (se abre en una nueva pestaña) han puesto fin a su ausencia de los foros de hackers y han vuelto a promocionar una nueva versión. Este descubrimiento se produce unos meses después de que uno de sus principales operadores fuera detenido por su participación en la operación « », un malware como servicio (MaaS) denominado «Raccoon» (se abre en una nueva pestaña) .
Racoon Stealer: una breve introducción
Raccoon Stealer se detectó por primera vez en el año 2019, cuando se anunciaba en diversos foros de ciberdelincuencia como un programa de robo de información. El malware ganó popularidad debido a su sencillez, ya que prescindía de muchas funciones avanzadas y se centraba más en facilitar el robo.
Los incidentes relacionados con Raccoon suelen comenzar durante campañas de correo basura malicioso, con el envío de archivos adjuntos maliciosos. El malware también se propaga a través de kits de explotación de terceros y otras familias de malware.
En October 2022, se detuvo a uno de los principales operadores de Raccoon Stealer, responsable de la infraestructura de la operación. El FBI logró recuperar los datos sustraídos de varios ordenadores que estaban infectados con el malware. Esta detención paralizó temporalmente la operación, hasta hace poco, cuando Raccoon anunció su regreso en una publicación en un foro de piratería informática.
Las nuevas funciones de Raccoon
- Búsqueda rápida de cookies y pases: Un nuevo panel de administración ofrece una forma sencilla de buscar direcciones URL. Esta función permite localizar de forma rápida y sencilla enlaces concretos dentro de grandes conjuntos de datos, incluso cuando se trata de millones de documentos y miles de enlaces diferentes. La incorporación de un componente de búsqueda rápida supone un importante avance para el malware, ya que ofrece un nuevo nivel de comodidad a los autores de las amenazas.
- Bloqueo automático de bots y visualización en el panel: El programa de robo de información cuenta con un nuevo sistema para detectar patrones de actividad inusuales, como accesos múltiples desde la misma dirección IP o el mismo rango de direcciones. Este comportamiento sospechoso provoca la eliminación automática de los registros asociados a dicha actividad, lo que dificulta que las herramientas de seguridad de que utilizan la automatización y los bots detecten el malware.
- Sistema de notificación: En esta versión se ha incorporado un sistema de notificación para bloquear las direcciones IP utilizadas por rastreadores y bots, impidiéndoles supervisar el tráfico de Raccoon.
- Estadísticas de registros: Las estadísticas de registros permiten a los autores de amenazas que adquieren el programa de robo de información consultar los países con mayor número de registros.
Observaciones adicionales
Comportamiento y capacidades
Raccoon Stealer se dirige a diversas aplicaciones y utiliza técnicas específicas para sustraer datos. Extraerá el archivo de la aplicación que contiene datos confidenciales, lo copiará en una carpeta temporal y creará o escribirá un archivo de texto en la carpeta de la aplicación con los datos sustraídos.
Para obtener y descifrar las credenciales de las aplicaciones, se encargará de recuperar y descargar los archivos DLL asociados a la aplicación. Los datos sustraídos se recopilan en un archivo denominado «log.zip» antes de enviarse al servidor de mando y control (C2) del autor de la amenaza.
Panel de control
Los suscriptores de Raccoon también tienen acceso a un panel de control centralizado en un servicio «onion» de Tor. El panel les permite generar y gestionar configuraciones de campañas, crear cargas útiles del malware Raccoon y consultar los datos sustraídos. Está disponible en inglés y ruso, y se accede a él mediante un nombre de usuario y una contraseña, que, presumiblemente, se reciben al suscribirse.
El panel de control utiliza recursos de JavaScript a los que se puede acceder sin necesidad de autenticación. Esto permitió a los investigadores determinar algunas de las funcionalidades actuales. Además, muestra el texto relativo al acuerdo de usuario y a las secciones de preguntas frecuentes. El recurso JavaScript expuesto reveló las siguientes opciones de menú a las que tienen acceso los administradores de Raccoon: todos los registros, estadísticas, noticias, servidores proxy y usuarios.
Panel de estadísticas
Un panel de estadísticas ofrece una visión general de las campañas activas de Raccoon Stealer. En la sección de cuentas se muestran los saldos actuales, probablemente relacionados con los fondos de suscripción. Asimismo, muestra la opción de configuración de la autenticación multifactorial (MFA) y una función de restablecimiento de contraseña.
Compilaciones/configuraciones
Según la sección de preguntas frecuentes, los suscriptores pueden generar una única versión; no obstante, también se admiten múltiples configuraciones, que pueden actualizarse o descargarse desde el C2 a mitad de la campaña.
Tras definir y seleccionar una configuración, el proceso de compilación permite al autor de la amenaza crear un archivo DLL o un ejecutable para distribuir y ejecutar la carga útil. El nuevo Raccoon MaaS también permite probar la carga útil recién creada en una máquina virtual gestionada por los operadores de Raccoon. La prueba enviará una notificación al suscriptor a través del panel de control, informándole de que la ejecución y la comunicación con el C2 se han realizado con éxito..
Carga útil
En la actualidad, muchos autores de amenazas están utilizando archivos adjuntos maliciosos para distribuir cargas útiles de Racoon en el marco de campañas de correo malicioso.
Cada carga útil intenta comunicarse con direcciones URL aparentemente inofensivas o legítimas; durante este proceso, se recopila y procesa una cadena cifrada para obtener la verdadera dirección URL C2 . Actualmente se comunica con sitios web que ofrecen servicios de acortamiento de URL para Telegram.
Raccoon Stealer extrae credenciales, cookies y datos de tarjetas de pago de numerosos navegadores web y carteras de criptomonedas. Además del robo de datos, el malware recopilará información del sistema, incluidos detalles sobre la versión de compilación del sistema operativo, el hardware y las aplicaciones instaladas. Se utiliza un archivo ZIP de exfiltración para cargar estos datos en un servidor C2 Gate.
Cargas útiles adicionales
Una vez que Raccoon Stealer haya completado la exfiltración de datos, el autor de la amenaza podrá iniciar la descarga o ejecución de cargas útiles adicionales. Estas cargas útiles variarán en función del objetivo final del autor de la amenaza. Entre las observaciones recientes se incluyen el despliegue de malware adicional para mantener el acceso remoto, así como de cargas útiles de criptojacking.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Las actualizaciones del famoso malware Raccoon Stealer ponen de manifiesto el grado de sofisticación que están alcanzando sus operadores». «Esto también demuestra que la intervención del FBI y las detenciones no siempre son suficientes para acabar con los autores de amenazas y los operadores de malware».
«La incorporación de un entorno de máquina virtual para que los autores de amenazas ejecuten y prueben sus versiones de Raccoon es bastante novedosa y probablemente hará que este programa de robo de información resulte más atractivo».
2. El uso de la IA generativa sigue siendo limitado a pesar del creciente interés
En los últimos años, Mandiant ha estado analizando el interés de los actores maliciosos por las capacidades de la IA (se abre en una nueva pestaña). Según sus observaciones, el uso de la inteligencia artificial en los ataques sigue siendo limitado y está relacionado principalmente con la ingeniería social.
Dicho esto, la IA se está utilizando de forma activa en la práctica, y los responsables de las campañas están empleando actualmente contenidos generados por IA en sus campañas.
Aprovechamiento de la IA generativa en las operaciones de información
Según Mandiant, las tecnologías de inteligencia artificial tienen el potencial de aumentar considerablemente las capacidades de los autores de amenazas.
Esto se debe a que la IA generativa permite a los autores de amenazas sin experiencia crear contenidos de mayor calidad a gran escala, al tiempo que elimina las barreras lingüísticas. El contenido generado por la inteligencia artificial también puede resultar más persuasivo. Un ejemplo de ello lo encontramos en los modelos de inteligencia artificial que se entrenan con las voces de personas reales para la creación de audio falso.
La adopción de la inteligencia artificial entre los agentes operativos
Es probable que la adopción de la inteligencia artificial varíe en función del tipo de medio. Esto se debe a la disponibilidad de los medios y a la eficacia de cada uno de ellos a la hora de suscitar una respuesta emocional.
- Imágenes generadas por IA: . Mandiant ha identificado varios casos de operaciones en las que se han utilizado imágenes generadas por IA. Es probable que la disponibilidad pública de herramientas que crean imágenes generadas por IA haya contribuido a su uso frecuente. Los autores de las amenazas han tomado medidas adicionales para ocultar el origen generado por IA de sus fotos de perfil, añadiendo filtros o retocando los rasgos faciales.
- Vídeo generado por IA: La tecnología de vídeo basada en IA disponible para el público consiste actualmente en plantillas de vídeo con avatares personalizables generados por IA que recitan textos a partir de la conversión de voz a texto, así como en herramientas de manipulación de vídeo, como los servicios de intercambio de rostros. Mandiant ha observado estas tecnologías en campañas llevadas a cabo en los últimos años. Por ejemplo, el actor malicioso Dragonbridge utilizó anteriormente un presentador generado por IA en una campaña.
- Texto generado por IA: . Mandiant solo ha observado un caso en el que los agentes de operaciones de información hicieran referencia a texto generado por IA. No obstante, Mandiant prevé que la reciente aparición de herramientas de acceso público podría dar lugar a una rápida adopción.
- Audio generado por IA: . Mandiant ha observado un uso escaso o nulo del audio generado por IA. Han observado que los usuarios de este tipo de tecnologías, como 4chan, crean grabaciones de audio de figuras públicas en las que realizan declaraciones inapropiadas.
Mejora de los materiales de los señuelos
Los actores maliciosos pueden utilizar modelos de lenguaje a gran escala (LLM) para generar material más convincente adaptado a públicos específicos, incluso sin comprender el idioma del destinatario. Los modelos de lenguaje grande (LLM) permiten a los autores de amenazas generar textos que resultan eficaces en las campañas de phishing.
Mandiant también ha detectado indicios de que hay actores con motivaciones económicas que utilizan contenidos de vídeo y voz manipulados en estafas de suplantación de identidad en el correo electrónico empresarial (BEC). También se han dado casos de estafas mediante suplantación de identidad con voces generadas por IA, en las que el autor de la amenaza se hace pasar por un familiar de la víctima para provocar una reacción emocional.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Últimamente se ha hablado mucho de cómo la inteligencia artificial podría afectar al panorama de las amenazas y de cómo puede facilitar la labor de los autores de estas amenazas». «Mandiant describe muy bien algunas de las situaciones potencialmente alarmantes que podría provocar, pero también aporta un cierto alivio al señalar que, hasta la fecha, su uso en la práctica ha sido limitado».
«Dado que sabemos que los autores de amenazas adaptan constantemente sus tácticas, técnicas y procedimientos (TTP) para responder a las nuevas tecnologías, no es de extrañar que muchos investigadores prevean un mayor uso de la inteligencia artificial en las campañas en el futuro».
3. El ransomware Monti ataca servidores VMware ESXi con un nuevo programa de cifrado para Linux
La operación de ransomware Monti (se abre en una nueva pestaña) ha reanudado su actividad tras una pausa de dos meses en la publicación de la lista de víctimas en su sitio web de filtración de datos.
El ransomware Monti está utilizando ahora un nuevo programa de bloqueo para Linux con el fin de atacar servidores VMware ESXi. La variante anterior de «locker» se basaba en gran medida en el código filtrado de Conti, pero los investigadores de han descubierto (se abre en una nueva pestaña) que la nueva variante presenta desviaciones significativas con respecto a sus predecesoras basadas en Linux.
Acerca del ransomware Monti
El ransomware Monti cuenta con variantes tanto para Windows como para Linux y empezó a llamar la atención por primera vez en June 2022 debido a su parecido con el ransomware Conti. La operación ha aprovechado numerosas tácticas, técnicas y procedimientos (TTP) ampliamente reconocidas del infame grupo Conti, además de utilizar gran parte del código fuente filtrado de Conti.
Al parecer, el grupo de ransomware Monti se tomó un descanso de dos meses en lo que respecta a la publicación de información sobre sus víctimas en su sitio web de filtración de datos, pero desde entonces ha reanudado sus actividades dirigiéndose a víctimas de los sectores jurídico y gubernamental. Con su regreso llega una nueva variante de Monti basada en Linux.
Las variantes anteriores de Monti Linux se basaban en gran medida en el código fuente de Conti, mientras que esta nueva versión utiliza un cifrador diferente con algunos comportamientos distintos. En el momento de este descubrimiento, solo tres proveedores habían clasificado esta variante como maliciosa en VirusTotal. Trend Micro comparó esta variante con variantes anteriores de Monti Linux y detectó un índice de similitud del 29 %, lo que indica que se deben de haber introducido varios cambios.
Marcador de infección
Una novedad de esta variante es que añade los bytes «MONTI», seguidos de 256 bytes adicionales vinculados a la clave de cifrado. El ransomware comprobará si el tamaño del archivo es de 261 bytes o menos, lo que se corresponde con el tamaño del marcador de infección que añade tras el cifrado.
Si esto es cierto, el ransomware continuará con su proceso de infección. Si esto no es así, Monti comprobará los últimos 261 bytes del archivo para confirmar la presencia de la cadena «MONTI». Si el archivo ya está cifrado, se omitirá.
Cifrado
Trend Micro ha determinado que esta nueva variante de ransomware empleaba un cifrado de AES-256-CTR bits utilizando «evp_enc» de la biblioteca OpenSSL, frente a los Salsa20 bits que se utilizaban en la variante anterior. La nueva muestra también utiliza diversos métodos de cifrado para los archivos, basándose exclusivamente en el tamaño del archivo para su proceso de cifrado.
El ransomware solo cifrará los primeros 100,000 bytes del archivo y añadirá su marcador de infección al final del mismo si este tiene un tamaño superior a 1.048MB pero inferior a 4.19MB. Si el archivo supera este tamaño, se aplicará una operación de desplazamiento a la derecha para calcular el tamaño total del archivo que se va a cifrar. Se cifrarán todos los archivos cuyo tamaño sea inferior a 1.048MB .
Al igual que en variantes anteriores, a todos los archivos se les añade la extensión .monti. La nota de rescate, «readme.txt», también se coloca en todos los directorios. Además, Trend Micro ha detectado un código de descifrado que sugiere que el autor podría estar probando su funcionalidad. Sin embargo, se comprobó que este código de descifrado resultaba ineficaz, ya que requiere una clave privada que solo conoce el autor.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El ransomware Monti nunca ha sido muy destacado en los medios de comunicación debido a su volumen de ataques relativamente bajo, pero eso no significa que deba ignorarse como amenaza».
Los autores de esta operación están empezando a alejarse del uso exclusivo del código fuente filtrado de Conti y están incorporando nuevas funcionalidades propias. «Monti está siguiendo los pasos de muchas otras bandas de ransomware al esforzarse por mejorar su capacidad para eludir la detección».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
