En el resumen de esta semana, CTI desvela las últimas actividades de los operadores del ransomware BlackCat, incluidas las últimas actualizaciones de sus herramientas. A continuación, CTI investiga a dos actores maliciosos de origen estatal norcoreanos que forman parte del Grupo Lazarus y su reciente explotación de la vulnerabilidad CVE-2023-42793. El informe CTI concluye con un análisis detallado de cómo los autores de amenazas están utilizando nuevas técnicas para comprometer los ordenadores Mac, lo que ha llevado a Apple a mejorar sus defensas y a reforzar la protección antimalware integrada.
1. Los operadores de BlackCat presentan la herramienta Munchkin
Los operadores responsables de , el ransomware BlackCat (se abre en una nueva pestaña) , han anunciado recientemente actualizaciones de sus herramientas, entre las que se incluye una utilidad denominada «Munchkin», que permite a los autores de amenazas propagar la carga útil de BlackCat a equipos remotos y recursos compartidos dentro de las redes.
Se ha cargado una instancia de Munchkin, adquirida recientemente, en una máquina virtual Alpine personalizada, lo que permite al autor de la amenaza utilizar máquinas virtuales (VM) para eludir las soluciones de seguridad.
Acerca del ransomware BlackCat
BlackCat opera como un servicio de ransomware (RaaS), lo que permite a los afiliados utilizar sus herramientas a cambio de una parte de los beneficios. Aunque, históricamente, el grupo se centraba en víctimas dentro de Estados Unidos, ha ampliado su ámbito de actuación y ha evolucionado a lo largo de los años para aprovechar nuevas capacidades y mecanismos de ocultación.
BlackCat se ha centrado históricamente en las víctimas de Estados Unidos. No obstante, esta familia de malware ha ampliado recientemente su ámbito de actuación debido a su creciente popularidad. Esta familia de malware ha seguido evolucionando a lo largo de los años para aprovechar nuevas capacidades y mecanismos de ofuscación.
BlackCat presenta la utilidad Munchkin
El grupo ha presentado recientemente una nueva herramienta denominada «Munchkin», que ofrece un sistema operativo basado en Linux que incorpora «Sphynx», la última variante de «BlackCat». Los operadores pueden utilizar la utilidad Munchkin para ejecutar BlackCat en equipos remotos o cifrar recursos SMB/CIFS remotos.
- La nueva utilidad «Munchkin» de BlackCat se distribuye a las víctimas en forma de archivo ISO que se carga en una instancia recién instalada del producto de virtualización VirtualBox.
- El archivo ISO es una implementación personalizada del sistema operativo Alpine. Es probable que el autor de la amenaza lo haya elegido debido a su reducido tamaño. Al ejecutar el sistema operativo, se llevan a cabo varios comandos que permiten al malware modificar la contraseña de root de la máquina virtual.
- A continuación, genera una nueva sesión de terminal mediante la utilidad tmux integrada, que se utiliza para ejecutar el archivo binario del malware denominado «controller», y apaga la máquina virtual.
- El malware de control se encuentra alojado en el directorio /app, junto con otros archivos relacionados. Entre los archivos más destacados se encuentran /app/controller, /app/config y /app/payload. También hay varios scripts de Python más que pueden utilizarse en actualizaciones posteriores dentro de la máquina virtual. Muchos de los scripts pueden utilizarse para el movimiento lateral, la extracción de contraseñas y la ejecución posterior de malware.
Malware de control
El malware del controlador está escrito en Rust, de una forma muy similar a la de la familia de malware BlackCat.
Una vez ejecutado, descifrará varias cadenas mediante una operación XOR única de un solo byte. A continuación, realiza comprobaciones básicas para asegurarse de que los archivos de configuración y de carga útil esperados se encuentran en el directorio /app. Si se confirma, analizará el archivo de configuración. De lo contrario, se cerrará con un mensaje de error.
El archivo /app/config contiene información que incluye tokens de acceso, identificadores de tareas, credenciales de las víctimas, direcciones URL de las víctimas de BlackCat, tipos de archivos y rutas incluidas en la lista de bloqueados, así como hosts y recursos compartidos que deben cifrarse. A continuación, creará y montará el directorio /payloads/, que se utiliza para alojar instancias de BlackCat. El controlador utilizará la ruta /app/payload como plantilla para crear ejemplos personalizados de BlackCat. Dentro del archivo de plantilla hay varios marcadores específicos que el controlador buscará y utilizará para modificar el archivo.
Los archivos creados se nombran con valores incrementales en el formato /payloads/0. Una vez creadas las cargas útiles, el malware recorrerá la configuración facilitada con el objetivo de infectar cualquier unidad SMB/CIFS que se haya especificado. Una vez que el malware haya finalizado su ejecución, la máquina virtual se apagará y no realizará ninguna acción adicional.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
BlackCat sigue siendo, desde hace ya bastante tiempo, una de las operaciones de ransomware más activas. La incorporación constante de nuevas funciones y herramientas por parte de la empresa, como la última utilidad Munchkin, contribuye claramente a su éxito continuado.
La última táctica, que consiste en aprovechar una máquina virtual personalizada para distribuir su malware, está ganando popularidad poco a poco entre los autores de amenazas y es algo que podríamos ver con mayor frecuencia en un futuro próximo.
2. Los miembros del grupo norcoreano «Lazarus» aprovechan una vulnerabilidad de JetBrains TeamCity
Según Microsoft, dos actores maliciosos norcoreanos del Grupo Lazarus , que llevan a cabo ataques de « » por cuenta del Estado , están aprovechando CVE-2023-42793 vulnerabilidades (se abre en una nueva pestaña). La vulnerabilidad que permite la ejecución remota de código afecta a varias versiones del servidor JetBrains TeamCity, una aplicación de integración continua y despliegue continuo (CI/CD).
Es probable que los autores de las amenazas estén aprovechando esta vulnerabilidad para instalar malware de puerta trasera y llevar a cabo ataques a la cadena de suministro de software.
«Diamond Sleet» y «Onyx Sleet»
Los dos actores maliciosos detectados por Microsoft son Diamond Sleet y Onyx Sleet (también conocidos como Andariel). Ambos forman parte del infame actor estatal conocido como el grupo Lazarus.
- Diamond Sleet suele atacar a empresas de los sectores de los medios de comunicación, los servicios informáticos y la defensa en todo el mundo y, más recientemente, se ha observado que también ataca a investigadores de seguridad. Este grupo también ha llevado a cabo anteriormente ataques dirigidos a la cadena de suministro de software.
- Onyx Sleet se centra principalmente en organizaciones del sector de la defensa y de los servicios informáticos ubicadas en Corea del Sur, Estados Unidos y la India. Aprovechan una amplia gama de herramientas para garantizar la persistencia y, con frecuencia, se valen de vulnerabilidades de «N días» para obtener acceso inicial.
Ruta de ataque 1: Granizo de diamantes
El ataque comienza con la infiltración exitosa en los servidores de TeamCity a través de la vulnerabilidad CVE-2023-42793 .
Tras la explotación, Diamond Sleet utilizó PowerShell para descargar cargas útiles adicionales desde una infraestructura legítima que ya había sido comprometida previamente. Estas cargas útiles se almacenan en el directorio C:\ProgramData con los nombres Forest64.exe y 4800-84DC-063A6A41C5C; el primero de ellos comprobará si el segundo está presente.
El contenido descifrado de 4800-84DC-063A6A41C5C es el archivo de configuración del malware ForestTiger. El archivo Forest64.exe creará tareas programadas que se ejecutarán al iniciar el sistema para garantizar su persistencia. Además, aprovechará la puerta trasera ForestTiger para extraer credenciales a través de LSASS.
Attack path 2: Diamond sleet
El mismo actor malicioso también está distribuyendo cargas útiles destinadas a ataques de secuestro del orden de búsqueda de DLL tras aprovechar la vulnerabilidad CVE-2023-42793 . Para ello, utilizan PowerShell para descargar archivos DLL maliciosos desde su infraestructura. Esta DLL se instala junto con un ejecutable legítimo.
Cuando el archivo «clip.exe» legítimo carga «Version.dll», este carga y descifra el contenido de un archivo «readme.md» que se descarga desde la infraestructura del autor de la amenaza. Este archivo contiene datos para descifrar el código independiente de la posición integrado en Version.dll, lo que permite ejecutar la fase final del RAT. El ejecutable de la segunda fase descifra un archivo de configuración que contiene las URL que el malware utilizará para C2. Una vez más, Microsoft observó cómo el autor de la amenaza extraía credenciales a través de LSASS.
Attack path 3: Diamond sleet
La tercera vía de ataque observada la lleva a cabo Onyx Sleet. Además, comienza con la explotación exitosa de la vulnerabilidad CVE-2023-42793 .
En este ejemplo, el autor de la amenaza crea una nueva cuenta de usuario en los sistemas comprometidos denominada «krtbgt», que probablemente se utilice para suplantar la cuenta legítima «KRBTGT» de Windows. A continuación, esta cuenta se añade al grupo «Administradores locales» mediante el comando «net use». Onyx Sleet despliega una carga útil única que se descarga desde su infraestructura a C:\Windows\Temp\temp.exe o a C:\Windows\ADFS\bg\inetmgr.exe. La carga útil descifrará un recurso PE incrustado, que posteriormente se cargará en memoria y se ejecutará. La carga útil interna es una herramienta de proxy que se utiliza para establecer la persistencia y que ha sido identificada como HazyLoad.
También se ha observado que este actor malicioso utiliza la cuenta «krtbgt» creada para iniciar sesión en el dispositivo comprometido a través de RDP, deteniendo el servicio TeamCity, extrayendo credenciales mediante LSASS e instalando herramientas para recuperar las credenciales almacenadas en los navegadores.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
Microsoft lleva observando esta actividad desde principios de octubre, a pesar de que el mes pasado se publicó una corrección para esta vulnerabilidad de TeamCity, lo que pone de manifiesto que todavía hay instancias vulnerables que aún no se han parcheado.
Los dos actores maliciosos observados en esta actividad están afiliados al Grupo Lazarus, pero utilizaron conjuntos de herramientas y vías de ataque diferentes tras aprovechar la vulnerabilidad CVE-2023-42793 para alcanzar sus objetivos.
El Grupo Lazarus y todos sus clústeres afiliados constituyen una amenaza sofisticada y son capaces de lanzar ataques destructivos. Sus tácticas, técnicas y procedimientos (TTP) están cambiando rápidamente con cada ataque, por lo que es importante estar al tanto de sus últimas actividades y asegurarse de contar con los mecanismos de detección adecuados.
3. Los ciberdelincuentes atacan a macOS con técnicas cada vez más sofisticadas
El 2023 ha aportado varios enfoques nuevos para comprometer los ordenadores Mac. En consecuencia, Apple está perfeccionando sus medidas de protección e incorporando continuamente nuevas reglas a su herramienta antimalware XProtect.
Un nuevo informe de SentinelOne destaca algunos de los principales programas maliciosos para macOS (se abre en una nueva pestaña) que se han descubierto recientemente, y detalla cómo los autores de las amenazas se están adaptando y ajustando para comprometer con éxito los dispositivos macOS.
La persistencia ya no es una prioridad para los autores de programas de robo de información
Este año se ha registrado un aumento de las familias de malware para macOS que evitan deliberadamente la persistencia. Esto es característico de los programas de robo de información, ya que suelen alcanzar su objetivo en una sola ejecución.
Dado lo lucrativos que pueden resultar los datos sustraídos para los autores de amenazas, estos no suelen tener necesidad de permanecer en el dispositivo. Los datos sustraídos suelen proporcionar a los autores de las amenazas lo que necesitan para obtener un mayor acceso y comprometer los sistemas.
En auge: la ingeniería social selectiva
Los autores de amenazas están utilizando actualmente técnicas de ingeniería social más sofisticadas, especialmente en los incidentes relacionados con macOS.
Por ejemplo, el malware para macOS, como , RustBucket (se abre en una nueva pestaña),y , incita a las víctimas a abrir un documento «confidencial» y a descargar un visor de PDF que ejecuta el malware de forma oculta. RustBucket obliga a los usuarios a anular los mecanismos de seguridad de macOS de Apple.
Los investigadores también han observado programas maliciosos menos sofisticados dirigidos a las pequeñas empresas. La campaña de MetaStealer para macOS se dirigía a sus víctimas mediante señuelos de ingeniería social como «términos de referencia publicitarios» y «Brief_Presentation-Task_Overview». Los archivos eran imágenes de disco que contenían malware de robo de información camuflado como documentos PDF.
Aumento del uso de herramientas públicas de seguridad ofensiva
Es habitual que los autores de amenazas utilicen herramientas de seguridad ofensiva para sistemas Windows, como se aprecia en el caso de Cobalt Strike. Esta misma tendencia está empezando a observarse ahora también en el ámbito del malware para macOS. Por ejemplo, proyectos como , Geacon (se abre en una nueva pestaña),y integran las capacidades de Cobalt Strike en cargas útiles basadas en Go. Se han detectado muchos de ellos integrados en versiones falsificadas de aplicaciones empresariales como SecureLink, que envían señales a C2s.
La herramienta de código abierto para simulacros de ataque «red teaming» Mythic y diversas cargas útiles, como Poseidon, también se han detectado en campañas recientes dirigidas a macOS. Funcionan como un implante y una suite de administración C2 , de forma muy similar a Cobalt Strike. Poseidon incorpora funciones de ofuscación y comunicaciones cifradas, lo que proporciona a los autores de amenazas un potente conjunto de herramientas.
SentinelOne señala que el servicio de bloqueo de malware de Apple, XProtect, aún no cuenta con una firma para detectar las cargas útiles de Poseidon, lo que requiere medidas de seguridad adicionales.
Vivir de los frutos del huerto
Las técnicas de «Living-off-the-land» (LOLbin) se han utilizado históricamente en ataques dirigidos a otras cargas útiles. Sin embargo, en macOS existe un reconocimiento cada vez mayor de estas técnicas, que en ocasiones se describen como «living-off-the-orchard» (LOOBins).
Entre las herramientas integradas más utilizadas se encuentran:
- System_profiler para recopilar datos sobre las instalaciones locales
- Sw_vers, para obtener la versión y la compilación del sistema operativo
- Curl para la descarga y la exfiltración de datos
Una de las familias de malware más habituales detectadas en 2023 y a lo largo de los últimos años es Adload (se abre en una nueva pestaña), que utiliza una combinación de LOLBins.
El uso indebido de software de código abierto para el acceso inicial al sistema
El malware JokerSpy (se abre en una nueva pestaña) apareció durante el verano y contiene varios componentes, entre los que se incluyen dos puertas traseras en Python, la herramienta de simulacros de ataque «SwiftBelt» y un archivo Mach-O basado en Swift que intenta hacerse pasar por el servicio XProtect de Apple. Los investigadores creen que algunos de estos ataques se iniciaron a través de un generador de códigos QR infectado con un troyano conocido como QRLog.
Protección de cargas útiles mediante malware modular y de varias etapas
Uno de los ataques a la cadena de suministro más complejos del año afectó a empresas de la cadena de suministro mediante la manipulación maliciosa del cliente del software de enrutamiento de llamadas 3CX’s , 3CXDesktopApp. Se han descubierto diversas fases iniciales e intermedias del malware en la parte correspondiente a macOS de la cadena de infección, pero se desconoce cuál es la verdadera carga útil de la fase final. Las fases conocidas del malware se diseñaron claramente para pasar desapercibidas y dependían de que los usuarios ejecutaran la aplicación infectada con el troyano para garantizar su persistencia. Recopiló datos limitados sobre la cuenta 3CX del host antes de enviar dicha información al autor de la amenaza y eliminarse automáticamente.
Del mismo modo, el ataque « » de JumpCloud (se abre en una nueva pestaña) , descrito en July 2023 , utilizó varias fases para pasar desapercibido y proteger las cargas útiles de las últimas fases. Ambas campañas se han atribuido a actores maliciosos vinculados a la RPDC, que se han centrado en los ataques a la cadena de suministro.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
El análisis de SentinelOne arroja luz sobre cómo los autores de amenazas se están centrando cada vez más en macOS. Al parecer, el equipo de seguridad de Apple ha estado trabajando para mejorar sus medidas de detección de malware dirigido a su propia plataforma, pero los avances han sido lentos.
Un ejemplo de ello es el malware para macOS «Atomic Stealer», del que se informó por primera vez en mayo. Apple acaba de añadir reglas para «Atomic Stealer» a XProtect en octubre. Este ejemplo pone de relieve la importancia de identificar rápidamente las amenazas emergentes y protegerse frente a ellas.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
