En el resumen de esta semana sobre inteligencia de amenazas cibernéticas (CTI) —¡la última entrada de la serie, la número 2022!—, analizamos en profundidad un informe reciente de Cisco Talos en el que se detalla un método de distribución del malware QakBot (QBot) , documentado recientemente, que aprovecha los archivos SVG (Scalable Vector Graphics) y el contrabando de HTML para ensamblar localmente una carga útil maliciosa. A continuación, analizaremos un conjunto de tres nuevas familias de ransomware, a las que Fortinet ha acusado de encabezar una oleada de ataques contra sistemas Windows que sigue en curso. Por último, concluimos con un resumen del informe « 2022 Adversary Infrastructure Report» de Recorded Future, centrándonos en las tendencias cambiantes de la infraestructura de mando y control (C2) utilizada por los actores maliciosos, incluido un aumento del 30 % en el número de servidores únicos ( C2 ) detectados en 2022 en comparación con el año pasado.
1. Los atacantes utilizan archivos SVG para introducir de forma encubierta el malware QBot en sistemas Windows
En una entrada reciente del blog de inteligencia de Cisco Talos , titulada « » (se abre en una nueva pestaña), se detalla un novedoso método de distribución del malware QBot que utiliza archivos SVG para realizar el «contrabando de HTML» y, en última instancia, ensambla una carga útil maliciosa de forma local en los dispositivos de las víctimas.
En pocas palabras, cuando la víctima de este ataque recibe y abre el archivo adjunto malicioso del correo electrónico, su navegador descodifica y ejecuta un script incrustado, lo que da lugar a la instalación de una carga maliciosa directamente en el dispositivo de la víctima.
¿En qué consiste el «contrabando de HTML»?
Contrabando de HTML (se abre en una nueva pestaña)es una técnica de distribución de malware que permite a los atacantes ocultar un script malicioso codificado dentro de un archivo adjunto de correo electrónico en formato HTML o de una página web. Independientemente del formato en el que se reciba el código HTML, al abrirlo se descodifica el código malicioso que contiene y se ejecuta la carga útil en el dispositivo del destinatario. Esta técnica permite a un atacante crear el malware desde detrás de un cortafuegos, en lugar de tener que intentar hacer pasar archivos ejecutables maliciosos a través de las defensas perimetrales.
Introducción encubierta de código HTML mediante SVG
El contrabando de código HTML puede llevarse a cabo de varias formas diferentes. Sin embargo, Cisco Talos ha observado recientemente cómo un atacante utilizaba una técnica de contrabando de HTML «bastante nueva» que implicaba el uso de imágenes SVG.
A diferencia de los archivos de imagen JPEG, las imágenes SVG son vectoriales, lo que significa que su tamaño puede aumentarse sin que se vea afectada la calidad de la imagen. Estas imágenes se crean mediante XML, lo que permite, de forma muy práctica, insertarlas en código HTML.
Cisco Talos ha identificado correos electrónicos maliciosos con archivos adjuntos en formato HTML que contienen imágenes SVG codificadas con etiquetas de script HTML. La inclusión de etiquetas <script> en imágenes SVG es una característica legítima del formato SVG que los atacantes están utilizando indebidamente para introducir código malicioso en el dispositivo de la víctima. Con esta técnica, los atacantes se aprovechan del hecho de que la mayoría de los navegadores web descodifican y ejecutan este código como si formara parte legítima del código HTML del documento.
El código malicioso oculto en la imagen SVG contiene el archivo ZIP malicioso de mayor tamaño. A continuación, el malware se extrae y se ejecuta directamente en el ordenador de la víctima. Dado que la carga útil del malware se crea en el propio equipo de la víctima, esta técnica permite a los atacantes eludir los sistemas básicos de detección de seguridad diseñados para filtrar cualquier contenido malicioso que intente acceder a la red.
La instancia de QBot
Uno de los métodos de distribución conocidos de QBot consiste en secuestrar el correo electrónico de la víctima y responder a un hilo de correo ya existente incluyendo el malware como archivo adjunto. Esta técnica se aprovecha del hecho de que el correo electrónico malicioso parece proceder de una fuente legítima y de confianza, lo que aumenta la probabilidad de que el destinatario interactúe con el contenido de la forma deseada por el atacante. En el caso observado por Cisco Talos, los piratas informáticos respondieron a un hilo de correo electrónico muy antiguo.
Cuando la víctima abre el archivo adjunto, el código oculto en la imagen SVG comienza a actuar y crea un archivo ZIP malicioso. A continuación, se muestra a la víctima un cuadro de diálogo para guardar el archivo. El archivo adjunto en formato HTML muestra una contraseña que las víctimas deberán utilizar para abrir el archivo ZIP cifrado que se acaba de crear en el ordenador de la víctima.
En el archivo adjunto HTML, Cisco Talos pudo observar el código utilizado por los atacantes para introducir de forma encubierta el código JavaScript en el dispositivo. Además de algunas técnicas de ofuscación ya conocidas, los investigadores también detectaron una etiqueta <embed> que contenía la imagen SVG base64-encoded . Una vez descodificada esta imagen y desofuscado el código JavaScript, Cisco Talos detectó la técnica de contrabando de HTML mediante SVG utilizada en esta campaña de QBot.
- La función charCodeAt() se utiliza para convertir el texto de una variable de JavaScript en un blob binario. Mediante la función createObjectURL(), el blob binario se convierte a continuación en un archivo zip que se le pide al usuario que guarde en su sistema de archivos local.
- Si la víctima introduce la contraseña facilitada por el atacante y abre el archivo ZIP, podrá extraer un archivo ISO. Al parecer, este archivo ISO infectará a la víctima con QBot.
Estadísticas sobre el contrabando de HTML
Trustwave ha publicado recientemente una entrada de blog en la que se señala que los archivos adjuntos en formato HTML siguen representando una amenaza, y la actividad mencionada anteriormente, observada por Cisco Talos, lo confirma sin lugar a dudas.
Trustwave ha constatado que los archivos adjuntos en formato HTML se están convirtiendo en algo habitual en sus trampas de correo basura. Durante un periodo de 30 días, Trustwave constató que la combinación de archivos HTML (11.39 %) y HTM (2.7 %) fue el segundo tipo de archivo adjunto más utilizado en el correo basura, con un total del 14.09 %.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«El contrabando de HTML puede eludir las herramientas de seguridad tradicionales que supervisan el tráfico entrante, ya que permite que el código malicioso se construya desde el interior de la red». Esto pone de manifiesto la necesidad cada vez mayor de contar con una protección de los dispositivos finales que contribuya a impedir la ejecución de malware.
«Aunque el contrabando de HTML no es una técnica nueva, está ganando popularidad entre los autores de amenazas debido a la capacidad, ya mencionada, de eludir algunas defensas de seguridad, como los filtros de análisis de contenido.» «El uso de imágenes SVG para el «contrabando» de HTML constituye un ejemplo más de cómo los autores de amenazas evolucionan continuamente sus técnicas para seguir siendo relevantes y tener éxito».
2. Nueva oleada de familias de ransomware que están llevando a cabo ataques contra sistemas Windows
Tres nuevas familias de ransomware (se abre en una nueva pestaña) han liderado la oleada de ataques dirigidos cada vez más contra sistemas Windows: Vohuk, ScareCrow y AESRT (también conocido como AERST).
Tal y como se indica en el último resumen quincenal sobre ransomware de Fortinet, los programas de ransomware Vohuk, ScareCrow y AERST comparten las siguientes características comunes:
- Plataformas afectadas: Microsoft Windows
- Partes afectadas: usuarios de Microsoft Windows
- de Impact: Cifra los archivos del equipo afectado y exige un rescate a cambio del descifrado de los mismos.
- Nivel de gravedad: Alto
A continuación, se ofrece un análisis detallado de cada familia de ransomware.
Ransomware Vohuk
De Fortinet:
«Al igual que la mayoría de los programas de ransomware, la nueva variante de Vohuk cifra los archivos de los equipos afectados e intenta extorsionar a las víctimas para obtener dinero. La nota de rescate que ha dejado, «README.txt», pide a las víctimas que se pongan en contacto con el atacante por correo electrónico utilizando un identificador único asignado a cada una de ellas. «Tal y como se aprecia en la nota de rescate, esta variante del ransomware Vohuk es la versión 1.3, lo que podría indicar que el atacante ha actualizado el ransomware en varias ocasiones».
- Vorhuk cifra los archivos y les añade la extensión «.Vohuk».
- Además, sustituye los iconos de los archivos seleccionados por un icono de candado rojo (véase más abajo) y cambia el fondo de pantalla del escritorio por su propio tema.
De Fortinet:
«El ransomware deja un mutex característico, «Global\\VohukMutex», que impide que se ejecuten diferentes instancias del ransomware Vohuk en el mismo sistema... «Según los lugares desde los que se han enviado los archivos a VirusTotal, el ransomware Vohuk ha afectado principalmente a Alemania y la India».
Ransomware ScareCrow
De Fortinet:
«El ransomware ScareCrow parece presentar algunas similitudes con el infame ransomware Conti: ambos utilizan el algoritmo CHACHA para cifrar archivos y eliminan las copias de seguridad mediante wmic basándose en los identificadores de dichas copias». Esto no resulta del todo sorprendente, ya que, según se ha informado, el código fuente del ransomware Conti se filtró a principios de año. No obstante, el actor malicioso ScareCrow se ha esforzado en desarrollar esta variante de ransomware, ya que nuestro análisis ha revelado algunas diferencias significativas. Por ejemplo, Conti cifra todas las cadenas de comandos con una única rutina de descifrado, mientras que ScareCrow cifra cada cadena, incluidos el nombre de las DLL que carga (es decir, kernel32), el nombre de las API que utiliza e incluso las cadenas de comandos con su propia rutina de descifrado».
En la mayoría de los aspectos, ScareCrow es un programa de ransomware típico. Cifra los archivos de los ordenadores de las víctimas y deja una nota de rescate en forma de un archivo llamado «readme.txt». La nota contiene tres canales diferentes de Telegram que las víctimas pueden utilizar para comunicarse con sus atacantes, quienes, por lo general, no incluyen ninguna exigencia económica en sus notas de rescate (un hecho que podría indicar el deseo de los atacantes de reservarse el derecho a fijar un precio sobre la marcha en el momento en que, si es que lo hacen, sean contactados por un negociador autorizado de la organización víctima).
Fortinet señala que, en el momento de redactar este informe, ninguno de los tres canales de Telegram estaba disponible.
El ransomware ScareCrow también añade la extensión «.CROW» a los archivos cifrados de los archivos afectados.
Ransomware AERST
De Fortinet:
«AESRT es una nueva variante de ransomware que FortiGuard Labs ha detectado recientemente». Cifra los archivos de los equipos afectados y añade la extensión «.AESRT» a los archivos que cifra. En lugar de dejar una nota de rescate, el ransomware muestra una ventana emergente en la que figura la dirección de correo electrónico del atacante. Además, admite un campo para introducir la clave adquirida necesaria para descifrar los archivos secuestrados. «El ransomware también elimina las copias de seguridad, lo que impide que la víctima pueda recuperar los archivos».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Es sumamente imprudente (lo decimos en términos generales, ya que siempre existen circunstancias atenuantes en cualquier situación) pagar a las bandas de ransomware. No solo no hay garantía de que se recuperen sus archivos, sino que tampoco hay garantía de que los delincuentes no vuelvan a atacar. Además, diversos organismos del Gobierno de los Estados Unidos, de distintos tipos y jurisdicciones, han desaconsejado el pago de rescates, señalando que, en muchos casos, ello podría considerarse ilegal.
«Lo importante es permanecer alerta ante el comportamiento y las tácticas, técnicas y procedimientos (TTP) que grupos de ransomware como los descritos anteriormente utilizan tanto antes como durante sus operaciones, y hacer hincapié en mantenerse al tanto de los vectores de acceso iniciales preferidos por estos grupos (como el despliegue de malware «precursor» —piense en QBot y su papel en la propagación del ransomware Black Basta—, que a menudo se distribuye a través de sofisticadas campañas de phishing)».
3. Recorded Future: El número de servidores de mando y control se disparó en 2022
El nuevo informe de Recorded Future titulado «2022 Adversary Infrastructure Report» ( ) (se abre en una nueva pestaña) () ( ) contiene un análisis de la infraestructura de mando y control (C2) identificada mediante métodos proactivos de escaneo y recopilación a lo largo de 2022.
Quizás el dato más destacado entre las principales conclusiones del informe sea el aumento del número de servidores únicos C2 detectados en 2022 , lo que supone un incremento del 30 % con respecto al año anterior. Esto constituye un claro indicio de que tanto los ciberdelincuentes como los grupos de amenazas persistentes avanzadas (APT) respaldados por Estados están recurriendo cada vez más a estos dispositivos para llevar a cabo ataques.
Un servidor « C2 » (se abre en una nueva pestaña) es, básicamente, un ordenador que envía órdenes a los dispositivos infectados. Los servidores permiten a los autores de amenazas crear redes para cifrar datos, lanzar ataques y llevar a cabo otras actividades perjudiciales.
Los autores del informe afirman haber detectado más de 17,000 C2 servidores en 2022, lo que supone un aumento respecto a los 13,629 servidores identificados el año anterior.
Al analizar los cinco principales marcos de malware y explotación asociados a estos C2 servidores durante los últimos tres años, el estudio revela un aumento continuo en el número de C2 servidores vinculados a Cobalt Strike, Meterpreter y PlugX (un popular troyano de acceso remoto muy utilizado por los hackers respaldados por el Estado chino). Esto ocurre a pesar de la avanzada edad de estas herramientas en concreto.
Other significant contributing families include botnet families such as IcedID and QakBot (the latter of which seems to have experienced quite a successful year), as well as a fully re-emerged Emotet, which – along with QakBot, continued to expand C2 infrastructure throughout 2022.
Otras conclusiones del informe
- Los investigadores observaron un plazo medio de 33 días entre la detección de un servidor C2 mediante sus propios escaneos y el momento en que se informa de ello en otras fuentes.
- PlugX sigue utilizándose ampliamente a pesar de que se haya presentado a ShadowPad como su «sucesor».
- Los cambios en la infraestructura « C2 » patrocinada por el Estado ruso pueden hacer que el seguimiento de operaciones concretas resulte más difícil que en el caso de otras entidades atribuidas al Estado.
- Los principales proveedores de alojamiento web siguen registrando el mayor número de observaciones de servidores C2 , tal y como era de esperar. No obstante, se han producido cambios en cuanto a los proveedores que se utilizan para los servidores C2 , entre los que destaca un aumento de más del 300 % en el alojamiento en Shenzhen Tencent Computer Systems, lo que lo ha convertido en el más popular para C2s según la encuesta de Recorded Future.
- China superó a EE. UU. como el país líder en volumen en el ámbito del alojamiento de C2 servidores. Mientras que la cuota de Estados Unidos en los C2 servidores descendió del 34 % al 22 %, la de China aumentó del 14 % al 24 %, debido principalmente al considerable incremento de las C2 detecciones registradas en el proveedor de alojamiento chino Shenzhen Tencent Computer Systems.
- En 2021, Recorded Future predijo un entorno C2 más diverso en el que sus investigadores observarían un aumento de las detecciones gracias a nuevas herramientas. Sin embargo, la variedad que finalmente observaron se debía a una mayor difusión de las herramientas ya establecidas, más que al uso de herramientas nuevas.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«A la hora de predecir la infraestructura de ataques adversarios del nivel C2 de cara al nivel 2023, parecería razonable pensar que marcos consolidados como Cobalt Strike y , así como redes de bots como Emotet y QakBot, seguirán ocupando los primeros puestos en estudios como el descrito anteriormente, aunque algunos expertos señalan a Brute Ratel como el probable sucesor de Cobalt Strike debido a su menor tasa de detección entre las soluciones de detección y respuesta en terminales (EDR). «En última instancia, serán las familias de malware, herramientas de post-explotación y redes de bots que hagan hincapié en la seguridad operativa (OPSEC), se sometan a un ciclo continuo de cambios en su infraestructura y empleen tácticas, técnicas y procedimientos (TTP) innovadores las que alcancen un mayor éxito».
Consulte aquí más resúmenes de « » sobre inteligencia en materia de amenazas cibernéticas.
