En el resumen de esta semana, CTI analiza los dos últimos fallos de seguridad incluidos en el catálogo de «Vulnerabilidades explotadas conocidas» de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. A continuación, CTI ofrece una visión general del actor malicioso UAC-0050, que actualmente está distribuyendo el RAT Remcos mediante tácticas de phishing de tipo « » (). Por último, CTI analiza la última versión del programa de robo de contraseñas «Meduza», que actualmente circula por la dark web.
1. La CISA añade dos fallos de seguridad al catálogo de vulnerabilidades explotadas conocidas (KEV)
Las últimas incorporaciones de la CISA al catálogo « de vulnerabilidades conocidas explotadas» (KEV) (se abre en una nueva pestaña) incluyen una vulnerabilidad ya corregida en Google Chrome y un error que afecta a Spreadsheet::ParseExcel, una biblioteca de código abierto de Perl.
La agencia ha fijado el January 23, 2024 como fecha límite para que los organismos federales subsanen estos dos problemas o dejen de utilizar los productos vulnerables.
Error I: CVE-2023-7024
El primer fallo es CVE-2023-7024 (se abre en una nueva pestaña), que consiste en un desbordamiento del búfer del montón en WebRTC para Google Chrome anterior a la versión 120.0.6099.129. Esta vulnerabilidad podría permitir que un atacante remoto provocara una corrupción del montón mediante una página HTML manipulada. Cuenta con una puntuación base elevada de 8.8 en la Base de Datos Nacional de Vulnerabilidades.
- El Grupo de Análisis de Amenazas « » de Google (se abre en una nueva pestaña) fue el primero en informar sobre la vulnerabilidad en December 19, 2023. Según sus investigadores, la vulnerabilidad fue explotada en el mundo real antes de que se publicaran los parches.
- Desde entonces, Google ha publicado una actualización de seguridad que corrige un posible desbordamiento del búfer del montón en WebRTC. Las versiones corregidas se distribuyeron a los usuarios de Windows (120.0.6099.129/130) y a los de Mac y Linux (120.0.6099.129) un día después de que se notificara el problema a Google.
- Esta vulnerabilidad supuso la octava vulnerabilidad de día cero detectada en los navegadores web basados en Chromium en 2023. Google aún no ha facilitado detalles sobre ningún ataque concreto que haya aprovechado la vulnerabilidad, y ha señalado que la información sobre el fallo podría mantenerse restringida hasta que un mayor número de usuarios haya instalado el parche correspondiente.
Bug II: CVE-2023-7101
La segunda vulnerabilidad, CVE-2023-7101 (se abre en una nueva pestaña), se ha detectado en la versión .65 de Spreadsheet::ParseExcel, un módulo de Perl destinado al análisis de archivos de Excel.
- Se ha detectado que Spreadsheet::ParseExcel presenta un riesgo debido a una vulnerabilidad que permite la ejecución de código arbitrario, ya que pasa datos no validados procedentes de un archivo a una función «eval» de tipo cadena. El problema se debió a la evaluación de las cadenas de formato numérico en la lógica de análisis de Excel.
- Este error aún está pendiente de análisis y todavía no tiene una puntuación de vulnerabilidad.
- Barracuda ha dado a conocer una vulnerabilidad ligeramente diferente en December 24, 2023, registrada con el número CVE-2023-7102. Esta vulnerabilidad de día cero se debió a una falla en la biblioteca de terceros Spreadsheet::ParseExcel utilizada por el escáner de virus Amavis que se ejecuta en los dispositivos Barracuda ESG.
- Esta vulnerabilidad podría aprovecharse para ejecutar código arbitrario en dispositivos ESG sin parches mediante la inyección de parámetros. A continuación, la empresa presentó el informe CVE-2023-7101 para realizar un seguimiento independiente del error en la biblioteca de código abierto.
- Barracuda ha atribuido la explotación de las vulnerabilidades CVE-2023-7102 y UNC4841, que anteriormente se habían relacionado con la explotación de otras vulnerabilidades de día cero de Barracuda. Tras llevar a cabo actividades de explotación, el actor procedió a implementar nuevas variantes de implantes ya conocidos denominados SEASPY y SALTWATER, ambos equipados para garantizar la persistencia y la ejecución de comandos.
- Mandiant ha estado investigando la actividad relacionada con la explotación de estas vulnerabilidades de Spreadsheet::ParseExcel y ha señalado que se estima que organizaciones públicas y privadas ubicadas en 16 países se han visto afectadas desde el October 2022.
- Google Cloud ha señalado que detectó CVE-2023-7102 ataques dirigidos contra empresas de alta tecnología, proveedores de tecnologías de la información y entidades gubernamentales, principalmente en Estados Unidos y en la región de Asia-Pacífico, a partir de November 30, 2023.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Aunque el anuncio de la CISA es importante y valioso, es fundamental comprender que no debemos esperar necesariamente a que las vulnerabilidades se incluyan en la KEV para decidir si debemos aplicar los parches o no.
Tal y como indica el nombre «KEV», se sabe que estas vulnerabilidades han sido explotadas en entornos reales. Si espera, puede que ya sea demasiado tarde. El hecho de que una vulnerabilidad no figure en la lista de la CISA no significa que no se esté aprovechando.
Aun así, es imprescindible aplicar los parches para estas vulnerabilidades recién detectadas, si es que aún no se ha hecho.
2. UAC-0050 distribuye Remcos RAT mediante nuevas tácticas de phishing
Un actor malicioso identificado como UAC-0050 (se abre en una nueva pestaña) está llevando a cabo activamente ataques de phishing para distribuir el RAT Remcos. El actor ha adoptado nuevas estrategias para evitar ser detectado, entre las que se incluye la integración de un método de «pipe» para la comunicación entre procesos, con el fin de crear un canal encubierto para la transferencia de datos.
Antecedentes sobre el UAC-0050
, de Uptycs, recibió una alerta (se abre en una nueva pestaña) sobre un archivo LNK sospechoso en December 21, 2023, lo que les llevó a realizar una investigación más exhaustiva. Su análisis reveló que UAC-0050 estaba utilizando la herramienta de acceso remoto (RAT) Remcos en una operación dirigida contra entidades gubernamentales ucranianas.
Se cree que el acceso inicial se produce a través de correos electrónicos de phishing o spam que se hacen pasar por ofertas de empleo y que tienen como objetivo al personal militar ucraniano. El archivo LNK se encarga de iniciar la descarga de un archivo HTA que incluye un script VBS. Este script activa un script de PowerShell que, a su vez, descargará una carga maliciosa. La ejecución de la carga útil da lugar, en última instancia, al inicio de «explorer.exe» con el RAT Remcos en la memoria de dicho proceso.
Detalles técnicos
Como se ha señalado, la cadena de ataque comienza con un archivo LNK. El archivo utilizado en este ataque recopilaba información sobre qué software antivirus estaba instalado en el dispositivo afectado. El archivo también incluye una cadena de URL ofuscada, que se ejecuta a través de MSHTA.
Uptycs logró obtener el archivo « “6.hta» para realizar un análisis más detallado, lo que condujo al descubrimiento del script VBS que contenía. El script de PowerShell que se ejecuta a través del script de VBS realiza varias tareas, como inicializar una cadena, crear objetos de descifrado, crear flujos de memoria y otras más.
El proceso desofuscado resultante condujo a otro script de PowerShell que creaba rutas de archivo en el directorio AppData, verificaba la existencia de archivos específicos e invocaba la función DcO para llevar a cabo diversas acciones.
Uptycs logró recopilar todas las actividades de PowerShell que parecían maliciosas y, finalmente, descubrió que las cargas útiles (word_update.exe y ofer.docx) se habían descargado desde el dominio new-tech-savvy[.]com.
Información sobre la carga útil
Al ejecutar la carga útil «word_update.exe», los investigadores descubrieron que esta crea una copia de sí misma en una carpeta de nueva creación, cambiando el nombre del archivo.
A continuación, el malware se asegurará de su persistencia al crear una entrada en la carpeta de inicio mediante la creación de un archivo LNK, lo que obligará a que el archivo malicioso copiado se ejecute al arrancar el equipo. Este archivo contenía datos de recursos inusuales que se transfirieron a la memoria y se sometieron a un proceso de descifrado.
A continuación, el malware invocó la función API WriteFile y utilizó tuberías para eludir diversas soluciones de seguridad. El proceso utiliza un identificador dirigido a una tubería sin nombre y, una vez finalizado, los datos se transmiten desde word_update.exe a cmd.exe. Los datos almacenados en la memoria se descifraron en tiempo de ejecución antes de ejecutar el RAT Remcos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El uso de un método de «pipe» para establecer un canal encubierto con el fin de transferir datos no es una técnica totalmente nueva, pero sí parece serlo para este actor malicioso, lo que indica un cambio en sus TTP y podría ser señal de un creciente nivel de sofisticación.
Lo que resulta interesante es el uso del RAT Remcos. El autor de la amenaza parece estar distribuyendo cada vez más este RAT e incluso fue señalado en una advertencia del CERT-UA el año pasado. Aunque, por el momento, el ataque parece estar bastante dirigido, sí que recurre a técnicas, tácticas y procedimientos (TTP) de uso habitual, por lo que sigue mereciendo la pena mantenerlo bajo vigilancia.
3. Aparece una nueva versión de Meduza Stealer en la dark web
Resecurity ha detectado recientemente que el autor del programa de robo de contraseñas « » de Meduza (se abre en una nueva pestaña) ha lanzado una nueva versión, la 2.2, en la dark web. La publicación se anunció en la dark web, en December 24, 2023.
La última versión llega tan solo unos meses después del lanzamiento inicial del programa malicioso en junio y ya está despertando un gran interés. Las principales mejoras que se observan en la versión 2.2 son la compatibilidad con más clientes de software, una herramienta mejorada para la captura de datos de tarjetas de crédito y la incorporación de mecanismos avanzados para el volcado de datos de contraseñas en diferentes plataformas, con el fin de extraer credenciales y tokens.
¿Qué es Meduza Stealer?
Meduza apareció por primera vez en el foro clandestino XSS. Posteriormente, recibió comentarios positivos en otras comunidades, como Exploit.
Actualmente, el programa malicioso es compatible con Windows Server 2012, 2016, 2019, 2022 y Windows 10/11. Meduza es capaz de sustraer datos de una amplia variedad de programas y aplicaciones, entre los que se incluyen más de 100 navegadores, más de 100 carteras de criptomonedas, la aplicación de mensajería Telegram, Steam, Discord, 27 gestores de contraseñas, Outlook, tokens de Google y muchos más.
Las últimas actualizaciones de Meduza Stealer
El autor de Meduza está llevando a cabo varias mejoras para la versión 2024. Una mejora clave es la optimización y la reescritura del programa de captura de contraseñas, pasando de STL a WinAPI. Esto conlleva múltiples mejoras en las comunicaciones del «stealer» C2 .
La versión 2024 también incorporará un stub de cifrado mejorado y una mayor capacidad para eludir los antivirus, lo que, a cambio de un suplemento, permitirá al autor ofrecer una ofuscación mejorada del programa de robo de datos con una mayor cobertura frente a la detección antivirus. Meduza ahora también es compatible con nuevas carteras de criptomonedas basadas en navegador.
El autor de Meduza se ha asociado con un prestigioso servicio clandestino de cifrado conocido como TrueCrypt Service. Numerosos operadores de malware y ransomware utilizan este servicio para ocultar sus cargas útiles y eludir las soluciones antivirus. Resecurity constató que el último método de encriptación funcionaba hasta cierto punto, ya que, en el momento del descubrimiento, solo un proveedor lo había detectado en VirusTotal.
¿Cuánto cuesta Meduza Stealer?
Meduza Stealer 2.2 tiene un precio de 199 dólares al mes, mientras que la suscripción de por vida cuesta 1199 dólares.
El equipo también ofrece servicios de cifrado con claves públicas y privadas y pone a disposición servidores para alojar paneles C2 , todo ello a cambio de una tarifa. Una vez que un actor malintencionado haya realizado el pago correspondiente a Meduza, el autor le invitará a un canal privado de Telegram, donde recibirá la nueva herramienta. Según Resecurity, la última versión disponible en el canal privado de Telegram es Meduza 2.2.7, lo que indica nuevas mejoras en el malware.
Para instalar Meduza, el autor de la amenaza debe, en primer lugar, ejecutar el archivo compartido «MedusaServer.exe», instalar la versión 3.10.2 de Python, instalar el paquete redistribuible de Microsoft Visual Studio y ejecutar varios comandos en la consola. La última variante de Meduza permite comunicarse a través de la aplicación de mensajería Telegram para enviar los registros de la víctima infectada.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El autor de Meduza está trabajando intensamente para mejorar continuamente el malware y hacerlo más atractivo para los autores de amenazas. La versión 2.2 se publicó en December 24, y ya está disponible la versión 2.2.7 . Esto pone de manifiesto la rapidez con la que está evolucionando este programa malicioso.
Dado el apoyo constante y el crecimiento de Meduza, Resecurity considera que Meduza está empezando a competir con Azorult y Redline Stealer. Solo el tiempo dirá hasta qué punto tendrá éxito el «Meduza Stealer».
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
