Esta semana, CTI analiza el regreso del malware Bumblebee al panorama de amenazas tras una pausa de cuatro meses. A continuación, CTI analiza el malware PikaBot, que ha reaparecido con cambios significativos en su código fuente y su estructura. Asimismo, se incluye un análisis detallado de cómo los autores de las amenazas están utilizando el Servicio de Notificación Sencilla (SNS) de AWS y un script de spam personalizado denominado «SNS Sender» en una campaña de smishing que sigue en curso.
1. Bumblebee regresa tras un parón
Según Proofpoint, el malware Bumblebee ha vuelto a aparecer en el panorama de amenazas tras un breve paréntesis. Antes de esta campaña, que se observó en February 8, el malware Bumblebee había estado ausente de los datos de Proofpoint durante cuatro meses.
La última campaña
En la última campaña de Bumblebee, los autores de las amenazas enviaron varios miles de correos electrónicos a diversas organizaciones de todo Estados Unidos con el asunto «Mensaje de voz de febrero».
Todos estos correos electrónicos se enviaron desde la misma dirección de correo electrónico y contenían enlaces a OneDrive. Si la víctima hacía clic en una URL de OneDrive, se le redirigía a un documento de Word que se hacía pasar por una empresa de electrónica de consumo llamada Humane.
El documento de Word utilizaba macros que creaban un script en el directorio temporal de Windows. A continuación, las macros ejecutarían el script mediante wscript.
Ejecución de malware
El archivo temporal que se había guardado contenía un comando de PowerShell encargado de descargar y ejecutar la siguiente fase del ataque.
La siguiente etapa consistía en otro comando de PowerShell encargado de descargar y ejecutar el archivo DLL de Bumblebee. La configuración de Bumblebee en esta campaña incluía un ID de campaña de “dcc3” y una clave RC4 denominada «NEW_BLACK».
Características destacadas de la campaña
Lo interesante de esta campaña es el uso de documentos con macros de VBA, algo que vemos cada vez con menos frecuencia desde que Microsoft comenzó a bloquear las macros de forma predeterminada.
De las aproximadamente 230 campañas de Bumblebee que Proofpoint ha identificado desde el March 2022, solo cinco utilizaron contenido con macros, mientras que cuatro utilizaron XL4 macros y solo una utilizó macros de VBA.
En general, la cadena de ataque de esta campaña difiere notablemente de las campañas anteriores de Bumblebee, incluso de aquellas que utilizaban la configuración «NEW_BLACK».
Atribución
Proofpoint aún no ha podido atribuir esta última actividad del malware «Bumblebee» a un actor malicioso concreto. Los investigadores observaron que el patrón de engaño relacionado con los mensajes de voz, el uso de enlaces de OneDrive y la dirección de correo electrónico del remitente coincidían con la actividad previa de TA579. Sin embargo, Proofpoint no pudo llegar a esa conclusión de forma definitiva. Proofpoint señala que el malware Bumblebee puede utilizarse para distribuir diferentes cargas útiles posteriores, como el ransomware, lo que dificulta su atribución a un único autor.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta es la primera vez que informamos sobre el malware « » Bumblebee desde que apareció el año pasado. Cuando el malware reaparece tras un periodo de inactividad, suele contar con nuevas y mejoradas funcionalidades y TTP. Sin embargo, en esta ocasión, Bumblebee regresó utilizando una técnica de la que muchos actores maliciosos están dejando de hacer uso.
No está claro cuál es el objetivo de utilizar esta técnica, pero, en cualquier caso, indica que es posible que empecemos a observar una mayor actividad de Bumblebee.
2. PikaBot vuelve a aparecer con un código optimizado
Los investigadores han observado que el malware PikaBot aparece en nuevas campañas con cambios significativos en su código fuente y su estructura.
Los desarrolladores de PikaBot han reducido la complejidad del código, lo que ha dado lugar a la eliminación de técnicas avanzadas de ofuscación y a cambios en las comunicaciones de red.
¿Qué es PikaBot?
- El malware PikaBot apareció por primera vez a principios de 2023. Consta de dos componentes principales: un cargador y un módulo central.
- El módulo principal ejecuta comandos e inyecta las cargas útiles recibidas de un servidor C2 . El malware utiliza métodos de distribución y comportamientos similares a los del malware QBot.
- Tras el desmantelamiento por parte del FBI de la red del malware QBot, se produjo un repunte en la actividad de PikaBot, muy probablemente debido a que un afiliado del ransomware BlackBasta comenzó a sustituir el uso de QBot por el de PikaBot. PikaBot pareció dejar de estar activo al final de December 2023.
- Se han observado campañas recientes que indican el regreso de PikaBot al panorama de amenazas. La última variante presenta cambios significativos que reducen la complejidad del código. Zscaler considera que esta versión se encuentra actualmente en un nuevo ciclo de desarrollo y en fase de pruebas.
Técnica anti-análisis
El cambio más destacado en las técnicas anti-análisis de PikaBot es la ofuscación de cadenas de caracteres. En las versiones anteriores de PikaBot, cada cadena se ofuscaba combinando el algoritmo RC4 con AES-CBC, lo cual resultaba un método muy eficaz. En la última versión, la mayoría de las cadenas se construyen obteniendo un carácter e insertándolo en la pila. Al igual que las variantes anteriores, esta variante también inserta código basura entre las instrucciones legítimas.
Además de estas técnicas, PikaBot utiliza dos métodos para detectar una sesión de depuración. Leerá el indicador «BeingDebugged» del bloque de entorno del proceso y, además, llamará a la función de la API de Windows «CheckRemoteDebuggerPresent».
Seguirá realizando estas comprobaciones en diversas partes de su código. Del mismo modo, el malware utilizará distintos métodos para asegurarse de que no se está ejecutando en un entorno de sandbox. Por último, el malware detendrá su ejecución si detecta que se está utilizando el idioma ruso o el ucraniano.
Fase de inicialización del bot
La última versión de PikaBot almacena todos los ajustes y la información en una única estructura. Esta configuración se almacena en texto sin cifrar y en una única dirección, y resulta mucho más sencilla que las versiones anteriores, que requerían el descifrado de cada elemento en tiempo de ejecución.
Cuando PikaBot analiza la información en texto plano, la borra, estableciendo todos los bytes en cero. A continuación, el malware carga el resto de funciones de la API de Windows necesarias y genera un identificador de bot para el equipo.
Comunicaciones en red
La última fase del malware consiste en conectarse al servidor C2 para obtener diversos comandos de red. El protocolo de red correspondiente ha cambiado considerablemente en esta última versión de PikaBot. El malware comenzará registrando el equipo afectado en su servidor y recopilando información sobre dicho equipo, como la configuración de la pantalla, los parámetros de baliza y retardo, y el nombre del controlador de dominio.
A continuación, añadirá al paquete de registro la clave de red RC4 de 32 bytes, una clave del Registro cuyo nombre se desconoce y el número de rondas de intercambio utilizadas para codificar los datos. Cifra los datos recopilados y los envía mediante una solicitud POST al servidor C2 .
Si el registro del bot se realiza correctamente, PikaBot iniciará un bucle infinito para solicitar y ejecutar comandos de red. En se detalla una lista completa de los comandos de red compatibles, según el informe de Zscaler titulado «».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La última versión del malware PikaBot, , adopta un enfoque muy diferente al reducir la complejidad del código. Esto resulta inusual, ya que las nuevas variantes de malware suelen ser más avanzadas y complejas.
PikaBot sigue representando una amenaza significativa y, según , ya ha sido utilizado anteriormente por actores maliciosos conocidos por distribuir el malware QBot.
3. Los autores de amenazas distribuyen correo basura a través de AWS SNS
Los autores de amenazas están utilizando actualmente el Servicio de Notificaciones Simples de AWS (SNS) junto con un script de spam personalizado denominado «SNS Sender» en una campaña de smishing que sigue en curso. Se ha relacionado al autor del script malicioso con y con numerosos kits de phishing disponibles en el mercado.
Resumen de la campaña
SNS Sender es un script personalizado de Python que utiliza AWS SNS para enviar mensajes SMS masivos que contienen enlaces de phishing de y. SentinelOne señala que «SNS Sender» es el primer script que utiliza AWS SNS en ataques de spam. Estos mensajes suelen suplantar la identidad de USPS. Es más, los investigadores han identificado vínculos entre el creador de esta herramienta y otros kits de phishing, pero consideran que esta herramienta podría encontrarse aún en fase de pruebas.
Acerca del guion
Para que el script «SNS Sender» se ejecute, es necesario que haya una lista de enlaces de phishing, «links[.]txt», en su directorio de trabajo. Acepta varios argumentos como entrada, entre los que se incluyen un archivo de texto con las claves de acceso, los secretos y las regiones de AWS, un archivo de texto con los números de teléfono a los que dirigirse, un identificador de remitente y el propio contenido del mensaje.
El script cuenta con una función denominada «send_sns_message» que establecerá una interfaz entre el script y el backend de AWS SNS para enviar los mensajes SMS. Según SentinelOne, la inclusión de una variable de identificación del remitente constituye una opción interesante, ya que dicha variable es opcional y no es compatible en todos los países. Por ejemplo, en EE. UU., los operadores no admiten los identificadores de remitente, pero en la India son obligatorios. Esto resulta interesante, dado que los mensajes de esta campaña suelen tener como tema el Servicio Postal de los Estados Unidos (USPS), lo que entra en conflicto con la inclusión de un identificador de remitente. Esto podría indicar que el autor de la amenaza responsable de dicha actividad se encuentra en un país en el que es obligatorio indicar el identificador del remitente.
El script creará un bucle «while» para recorrer la lista de credenciales y regiones de AWS que se hayan introducido previamente. Sustituirá todas las apariciones de la cadena «linkas» por una URL del archivo links[.]txt introducido previamente. El enlace se selecciona al azar y convertirá el mensaje en un auténtico SMS de phishing.
Kits de phishing
El autor del script utiliza el seudónimo de ARDUINO_DAS. Los investigadores han identificado más de 150 archivos de kits de phishing relacionados con este actor, de los cuales más de la mitad tienen como tema el Servicio Postal de los Estados Unidos (USPS).
Los investigadores analizaron en profundidad las campañas activas de January 2024 que utilizaban técnicas de phishing relacionadas con el Servicio Postal de los Estados Unidos (USPS) y descubrieron un proceso básico. Las páginas de destino informaban a la víctima de que no se había podido entregar su paquete y le pedían que hiciera clic en un botón para obtener ayuda. Este botón redirige a la víctima a una página de seguimiento que simula mostrar los datos de seguimiento del paquete, pero que también le solicita que introduzca datos personales, como su nombre, número de teléfono y dirección de correo electrónico.
A continuación, se redirige a la víctima a otra página en la que se le solicita que introduzca un número de tarjeta de crédito para abonar los gastos de reenvío. El número de la tarjeta de crédito se envía a un verificador de tarjetas que, según se cree, funciona a través de un servicio de Telegram.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como explica SentinelOne, los autores de amenazas no suelen utilizar AWS SNS, a pesar de que cada vez recurren más a la nube en sus ataques.
SNS Sender es un nuevo enfoque que requiere que el actor acceda a un entorno de AWS SNS debidamente configurado. Además, la inclusión de un identificador de remitente en una campaña inspirada en el USPS resulta cuestionable y hace pensar que esta herramienta aún se encuentra en fase de desarrollo.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
