Esta semana, CTI investiga el regreso del malware de Bumblebee al panorama de amenazas después de un período de inactividad de cuatro meses. Luego, CTI analiza el malware PikaBot que ha vuelto a surgir con cambios significativos en su base y estructura de códigos. También se incluye un desglose de cómo los actores de amenazas están utilizando el servicio de notificación simple (SNS) de AWS y un script de spam personalizado llamado SNS Sender en una campaña de smishing en curso.
1. Retornos de abejorros desde el hiato
Según Proofpoint, el malware de Bumblebee ha regresado al panorama de amenazas después de un breve descanso. Antes de esta campaña, que se observó el February 8, el malware de Bumblebee estaba ausente de los datos de Proofpoint durante cuatro meses.
La última campaña
En la última campaña de Bumblebee, los actores de amenazas enviaron varios miles de correos electrónicos a varias organizaciones en los EE. UU. con el tema “Correo de voz de febrero”.
Todos estos correos electrónicos se enviaron desde la misma dirección de correo electrónico y contenían direcciones URL de OneDrive. Si la víctima hizo clic en una dirección URL de OneDrive, se la llevó a un documento de Word que falsificó a una empresa de electrónica de consumo llamada Humane.
El documento Word aprovechó macros que crean un script en el directorio temporal de Windows. Luego, las macros ejecutarían el script a través del wscript.
Ejecución de malware
El archivo temporal caído contenía un comando PowerShell que es responsable de descargar y ejecutar la siguiente etapa del ataque.
Esta siguiente etapa fue otro comando de PowerShell que era responsable de descargar y ejecutar el DLL de Bumblebee. La configuración de Bumblebee en esta campaña incluyó una id. de campaña de “dcc3” y una clave RC4 de “NEW_BLACK”.
Características notables de la campaña
Lo interesante de esta campaña es el uso de documentos habilitados para macro VBA, que estamos viendo cada vez menos desde que Microsoft comenzó a bloquear las macros de manera predeterminada.
De las aproximadamente 230 campañas de Bumblebee que Proofpoint identificó desde March 2022, solo cinco campañas utilizaron contenido cargado de macros, mientras que cuatro utilizaron XL4 macros y solo una utilizó macros de VBA.
En general, la cadena de ataque para esta campaña es notablemente diferente de las campañas anteriores de Bumblebee, incluso aquellas que utilizaban la configuración “NEW_BLACK”.
Atribución
Proofpoint aún no ha podido atribuir esta última actividad de malware de Bumblebee a un actor de amenazas en particular. Los investigadores notaron que el tema atractivo en torno a los correos de voz, el uso de direcciones URL de OneDrive y la dirección de correo electrónico del remitente estaban alineados con la actividad anterior de TA579. Sin embargo, Proofpoint no pudo sacar esa conclusión definitivamente. Proofpoint menciona que el malware de Bumblebee se puede usar para entregar diferentes cargas útiles de seguimiento como ransomware, lo que dificulta atribuirlo a un solo actor.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Esta es la primera vez que informamos sobre malware de Bumblebee desde que apareció el año pasado. Cuando el malware regresa de la inactividad, generalmente tiene una funcionalidad y TTP nuevos y mejorados. Pero esta vez, Bumblebee regresó utilizando una técnica de la que muchos actores de amenazas se alejan.
La intención detrás de usar esta técnica no es clara, pero indica que podemos comenzar a ver más actividad de Bumblebee.
2. PikaBot vuelve a aparecer con un código optimizado
Los investigadores han observado malware PikaBot en nuevas campañas con cambios significativos en su base y estructura de códigos.
Los desarrolladores de PikaBot han reducido la complejidad del código, lo que dio como resultado la eliminación de técnicas avanzadas de ofuscación y cambios en las comunicaciones de red.
¿Qué es PikaBot?
- El malware PikaBot surgió por primera vez a principios de 2023. Consta de dos componentes principales, incluidos un cargador y un módulo central.
- El módulo central ejecuta comandos e inyecta cargas útiles recibidas de un C2 Server. El malware utiliza métodos y comportamientos de distribución similares a los del malware QBot.
- Después de que el FBI derribó la operación de malware QBot, hubo un pico en la actividad de PikaBot, muy probablemente porque una filial de ransomware BlackBasta comenzó a reemplazar su uso de QBot por PikaBot. PikaBot pareció entonces cesar la actividad al final de December 2023.
- Se han observado campañas recientes, lo que indica el regreso de PikaBot al panorama de amenazas. La última variante tiene cambios significativos que reducen la complejidad del código. Zscaler cree que esta versión se encuentra actualmente en un nuevo ciclo de desarrollo y fase de prueba.
Técnica antianálisis
El cambio más notable en las técnicas antianálisis de PikaBot es su ocultación de cadena. Las versiones de PikaBot más antiguas tenían cada cadena oculta al combinar el algoritmo RC4 con AES-CBC, que era un método muy efectivo. En la última versión, la mayoría de las cadenas se construyen obteniendo un carácter y empujándolo sobre la pila. Al igual que las variantes anteriores, esta variante también inserta código basura entre instrucciones legítimas.
Además de estas técnicas, PikaBot utiliza dos métodos para detectar una sesión de depuración. Leerá el indicador BeingDebugged del bloque del entorno de proceso y también llamará a la función de API de Windows CheckRemoteDebuggerPresent.
Continuará realizando estas verificaciones en varias partes de su código. De manera similar, el malware aprovechará diferentes métodos para garantizar que no se ejecute en un entorno de entorno aislado. Por último, el malware detendrá su ejecución si detecta el idioma ruso o ucraniano.
Fase de inicialización del bot
La última versión de PikaBot almacena todos los ajustes y la información en una sola estructura. Esta configuración se almacena en texto sin formato y en una dirección y es mucho más simple que las versiones anteriores que requerían el descifrado de cada uno de los elementos en tiempo de ejecución.
Cuando PikaBot analiza la información de texto sin formato, la borra, configurando todos los bytes en cero. Luego, el malware carga las funciones API de Windows requeridas restantes y genera un identificador de bot para el host.
Comunicaciones de red
La última fase del malware implica comunicarse con el servidor C2 para obtener varios comandos de red. El protocolo de red para esto ha cambiado significativamente en esta última versión de PikaBot. El malware comenzará registrando el host comprometido en su servidor y recopilando información sobre el host comprometido, como los ajustes de visualización del monitor, los ajustes de baliza y retardo y el nombre del controlador de dominio.
Luego agregará la llave RC4 de 32 bytes, un nombre de clave de registro desconocido y la cantidad de rondas de intercambio utilizadas para codificar la información en el paquete de registro. Cifra los datos recopilados y los envía con una solicitud POST al servidor C2 .
Si el registro del bot se realiza correctamente, PikaBot iniciará un bucle infinito para solicitar y ejecutar comandos de red. En el informe de Zscaler, se detalla una lista completa de los comandos de red compatibles.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
La última versión del malware PikaBot adopta un enfoque mucho diferente al reducir la complejidad del código. Esto es inusual, ya que las nuevas variantes de malware generalmente son más avanzadas y complejas.
PikaBot aún representa una amenaza significativa y anteriormente ha sido aprovechado por actores de amenazas que se sabía que distribuyeban malware QBot.
3. Los actores de amenazas distribuyen spam a través de AWS SNS
Los actores de amenazas ahora están utilizando el servicio de notificación simple (SNS) de AWS junto con un script de spam personalizado llamado SNS Sender en una campaña de smishing en curso. El autor detrás del script malicioso ha estado vinculado a numerosos kits de phishing en el mercado.
Descripción general de la campaña
SNS Sender es un script personalizado de Python que utiliza AWS SNS para enviar mensajes SMS masivos que contienen enlaces de phishing. SentinelOne señala que SNS Sender es el primer script que aprovecha AWS SNS en ataques de spam. Los mensajes a menudo se hacen pasar por USPS. Además, los investigadores han identificado enlaces entre el creador de esta herramienta y varios otros kits de phishing, pero creen que esta herramienta aún puede estar en la fase de prueba.
Acerca del script
El script de SNS Sender necesita una lista de enlaces de phishing, enlaces[.]txt, en su directorio de trabajo para iniciarse. Acepta varios argumentos como entrada, incluido un archivo de texto de claves de acceso, secretos y regiones de AWS, un archivo de texto de números de teléfono a los que apuntar, una id. de remitente y el contenido del mensaje en sí.
El script tiene una función llamada “send_sns_message” que configurará una interfaz entre el script y el backend de SNS de AWS para enviar mensajes SMS. La inclusión de una variable de ID de remitente es una opción interesante según SentinelOne, ya que esta variable es opcional y no es compatible en todos los países. Por ejemplo, en los EE. UU., las aseguradoras no admiten identificaciones de remitente, pero son obligatorias en la India. Esto es interesante dado el hecho de que los mensajes de esta campaña a menudo tienen el tema de USPS, que entra en conflicto con la inclusión de una identificación de remitente. Esto podría indicar que el actor de amenazas detrás de la actividad está en un país donde las identificaciones de remitente son obligatorias.
El script establecerá un bucle de tiempo para iterar a través de la lista de credenciales de AWS y regiones que se ingresaron previamente. Reemplazará cualquier instancia de la cadena “linkas” con una dirección URL de los enlaces ingresados previamente[.]txt file. El enlace se selecciona aleatoriamente y armará el mensaje como un verdadero SMS de phishing.
Kits de phishing
El autor detrás del script pasa por el alias de ARDUINO_DAS. Los investigadores identificaron más de 150 archivos de kit de phishing que hacen referencia a este actor, más de la mitad de los cuales tienen el tema de USPS.
Los investigadores se sumergen en campañas activas desde January 2024 que usaron el phishing con temática de USPS y descubrieron un flujo básico. Las páginas de inicio le decían a la víctima que su paquete no podía entregarse y le pedían que haga clic en un botón para obtener ayuda. Este botón dirige a la víctima a una página de seguimiento que finge estar rastreando los detalles del paquete, pero también solicita que la víctima ingrese PII como su nombre, número de teléfono y dirección de correo electrónico.
Luego, la víctima es dirigida a otra página que le pide que ingrese un número de tarjeta de crédito para pagar un cargo por reintento de entrega. El número de tarjeta de crédito se reenvía a un verificador de tarjetas que se cree que se ejecuta a través de un servicio de telegrama.
Comentarios del analista del equipo de inteligencia de amenazas cibernéticas de Tanium
Como explica SentinelOne, los actores de amenazas generalmente no utilizan AWS SNS, aunque están aprovechando cada vez más la nube en sus ataques.
SNS Sender es un nuevo enfoque que requiere que el actor acceda a un portador de AWS SNS configurado correctamente. Además, su inclusión de una ID de remitente en una campaña temática de USPS es cuestionable y hace probable que esta herramienta aún esté en desarrollo.
¿Tiene conocimiento de estas historias que desea compartir? Vaya al foro de debate de Tanium e inicie una conversación.
Para obtener más información, póngase al día con nuestras recientes redondeos de inteligencia sobre amenazas cibernéticas.
