En el resumen de esta semana, CTI investiga una campaña activa llevada a cabo por el grupo APT28 , vinculado a un Estado-nación, en la que el autor de la amenaza aprovecha una vulnerabilidad crítica de seguridad en Outlook para sustraer información confidencial. A continuación, CTI analiza las principales características de los correos electrónicos de phishing con códigos QR , incluidas las fuentes, los asuntos y los dominios más habituales que los autores de las amenazas utilizan en sus ataques. CTI también analiza una intrusión reciente en un servidor MSSQL accesible al público que dio lugar a la instalación del ransomware BlueSky.
1. APT28 aprovecha una vulnerabilidad crítica de Outlook
El grupo « », respaldado por el Kremlin APT28 , (se abre en una nueva pestaña) (también conocido como , Fancy Bear), está aprovechando activamente una vulnerabilidad de seguridad crítica —ya corregida— en el servicio de correo electrónico Outlook. APT28 está aprovechando CVE-2023-23397 (se abre en una nueva pestaña) para obtener acceso no autorizado a cuentas de Microsoft Exchange y sustraer información confidencial.
El CVE-2023-23397 es una vulnerabilidad de escalada de privilegios crítica de tipo « » (se abre en una nueva pestaña) en Microsoft Outlook para Windows. Para aprovechar esta vulnerabilidad, el autor de la amenaza enviará un mensaje especialmente diseñado a un usuario. El autor de la amenaza puede especificar el valor de «PidLidReminderFileParameter» para provocar una fuga de hash Net-NTLMv2 hacia los servidores controlados por él. No es necesario que la víctima interactúe con el mensaje de correo electrónico. Siempre que Outlook esté abierto en el momento en que se active el recordatorio, se producirá la vulnerabilidad.
Todas las versiones de Outlook para Windows se vieron afectadas por esta vulnerabilidad, mientras que Outlook para Android, iOS, Mac y OWA no se vieron afectadas. Microsoft ha rastreado las pruebas de un posible aprovechamiento de esta vulnerabilidad hasta el sitio web April 2022. Esta vulnerabilidad se notificó por primera vez en marzo de 2023 y, desde entonces, se ha puesto a disposición un parche.
Acerca de APT28
Aunque esta vulnerabilidad se dio a conocer hace varios meses, Microsoft ha confirmado recientemente que APT28 la está aprovechando de forma activa. APT28 —también conocido como Forest Blizzard y Fancy Bear— es un grupo de ciberdelincuentes al que se ha atribuido su pertenencia a la Dirección General de Inteligencia del Estado Mayor General de Rusia (GRU).
Este grupo lleva en activo al menos desde el año 2004 y suele centrar sus ataques en organismos gubernamentales, empresas del sector energético, del transporte y organizaciones no gubernamentales de Estados Unidos, Europa y Oriente Medio. Se sabe que el grupo APT28 aprovecha vulnerabilidades de dominio público en sus ataques, y que dedicó una buena parte de September 2023 a explotar la vulnerabilidad de WinRAR (CVE-2023-38831) contra objetivos del Gobierno ucraniano. Se cree que el grupo cuenta con amplios recursos y está bien entrenado, y que perfecciona continuamente sus tácticas, técnicas y procedimientos (TTP) y utiliza nuevo malware creado a medida.
APT28 está aprovechando ahora de forma activa la vulnerabilidad de Outlook, que data de hace nueve meses, en sus ataques para obtener acceso no autorizado a cuentas de correo electrónico en servidores Exchange. Microsoft ha colaborado con el Comando Cibernético de Polonia (DKWOC) para analizar esta última actividad.
Tras aprovechar la vulnerabilidad de Outlook, APT28 suele modificar los permisos de las carpetas del buzón de correo de la víctima para permitir el acceso a cualquier persona autenticada dentro de la organización. Esto permite al atacante acceder a buzones de correo con información de gran valor a través de cualquier cuenta de correo electrónico comprometida dentro de la organización de Exchange, utilizando el protocolo Exchange Web Services (EWS).
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
APT28 es un grupo de ciberdelincuentes de gran éxito al que se le atribuyen con frecuencia nuevas actividades maliciosas.
Aunque APT28 es un grupo ingenioso, también es conocido por aprovechar las vulnerabilidades poco después de que se hagan públicas. Por lo tanto, la aplicación de parches críticos resulta fundamental para protegerse contra los ataques APT28 .
2. Las campañas de phishing mediante códigos QR se vuelven cada vez más complejas
Un nuevo informe de Cofense detalla las principales características de los correos electrónicos de phishing con códigos QR (se abre en una nueva pestaña), y abarca las fuentes, los asuntos y los tipos de dominios que los autores de las amenazas suelen utilizar en estas campañas. Entre las características comunes de los correos electrónicos de suplantación de identidad con códigos QR se incluyen los captcha, la autenticación multifactorial (MFA) y las URL que contienen un redireccionamiento abierto a una página destinada a suplantar credenciales.
Cofense ha revisado sus informes de amenazas activas (ATR) para todos los informes que contienen códigos QR. Descubrieron que las campañas con captcha eran las más habituales tanto en el caso del phishing mediante códigos QR como en el de todo tipo de phishing de credenciales. La etiqueta «MFA» fue la menos frecuente en todos los informes sobre suplantación de identidad mediante credenciales, pero ocupó un reñido segundo puesto en los informes sobre códigos QR. Es más, el 29 % de sus informes sobre códigos QR aprovechaban de alguna forma una característica de la autenticación multifactorial (MFA), lo que indica que estas campañas podrían ser ahora más diversas de lo que eran hace tan solo unos meses.
Fuentes de las imágenes de los códigos QR
Los códigos QR suelen enviarse a través de imágenes incrustadas en un correo electrónico. Sin embargo, dado que las herramientas han mejorado a la hora de detectar y escanear códigos QR de esta forma, los autores de amenazas están empezando a buscar métodos alternativos para su distribución.
Un nuevo método alternativo —aunque solo se ha observado en aproximadamente el 3 % de las campañas— es el uso de la API de Google para generar un código QR. A continuación, este código QR se incluye como imagen externa en el correo electrónico o en el archivo adjunto en formato HTML. La URL generará un código QR con un enlace a la URL elegida por el autor de la amenaza, que se encuentra dentro de la URL googleapis[.]com. Es posible que este método eluda la detección, por el momento, ya que la mayoría de las pasarelas de correo electrónico ignoran las imágenes externas.
Un método alternativo más habitual consiste en utilizar un archivo adjunto que contenga un código QR incrustado. Cofense constató que el 17 % de las campañas basadas en códigos QR que analizó utilizaban archivos adjuntos, una cifra que prevén que aumente en un futuro próximo.
Asuntos habituales en los correos electrónicos de suplantación de identidad con códigos QR
Cofense ha constatado que los asuntos relacionados con la autenticación multifactorial (MFA) representaban el 29 % de los correos electrónicos con códigos QR. Además, están empezando a encontrar más contenido que permite identificar a personas en temas que requieren la supresión de datos.
Tipos de dominios
Es posible incorporar diferentes tipos de URL en un código QR. Un tipo de URL es un dominio legítimo que puede utilizarse para la redirección. Los autores de amenazas también utilizan en ocasiones servicios de acortamiento de enlaces como Bitly. Se ha constatado que los dominios pertenecientes a uno de los acortadores de dominios de códigos QR se utilizan aproximadamente en el 7 % de los casos. El tipo de dominio más habitual, con un 62 %, fue el de los dominios maliciosos o comprometidos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Aunque este análisis no revela ninguna técnica, táctica o procedimiento (TTP) revolucionaria en lo que respecta a las campañas de phishing relacionadas con códigos QR, sí indica que estas campañas podrían estar adquiriendo una mayor diversidad de lo que pensábamos inicialmente.
Cuando aparecieron por primera vez los intentos de suplantación de identidad mediante códigos QR, la mayoría de los correos electrónicos tenían asuntos genéricos relacionados con la autenticación de dos factores (MFA) o con el restablecimiento de contraseñas. Lo que estamos observando actualmente son ataques de phishing mediante códigos QR más específicos, con asuntos que incluyen información personal o fechas concretas. También estamos empezando a observar cómo los autores de amenazas están cambiando de estrategia a medida que se van disponiendo cada vez más soluciones para detectar el phishing mediante códigos QR, lo que sugiere que seguiremos viendo casos de phishing basado en códigos QR durante algún tiempo.
3. Un ataque de fuerza bruta contra SQL da lugar al ransomware BlueSky
El informe DFIR ha detectado recientemente una intrusión de tipo « » en un servidor MSSQL de acceso público (se abre en una nueva pestaña) que dio lugar a la instalación del ransomware BlueSky. El tiempo transcurrido hasta la aparición del ransomware en este ataque fue de tan solo 32 minutos. Se sabe que el ransomware BlueSky está relacionado con el código fuente filtrado de Conti y Babuk.
Hace aproximadamente un año, el informe DFIR detectó un grupo de actividades dirigidas contra servidores MSSQL. Esta actividad comenzó con intentos de adivinar la contraseña mediante fuerza bruta para la cuenta de administrador del sistema MS SQL en un servidor conectado a Internet. Se registraron más de 10,000 intentos fallidos antes de que se lograra iniciar sesión. Tras descubrir la contraseña, el autor de la amenaza habilitó xp_cmdshell para poder ejecutar comandos de shell en el host.
- Los autores del ataque comenzaron con un comando de PowerShell para establecer una conexión con un servidor de Cobalt Strike C2 antes de inyectarse en «winlogon», que es un proceso legítimo.
- El proceso inyectado ejecutó tanto PowerShell como cmd para llevar a cabo análisis y detección de SMB a través de SMBexec.
- A continuación, la sesión de PowerShell estableció una conexión con un servidor «stager» Tor2Mine y ejecutó scripts adicionales de PowerShell para comprobar los privilegios de los usuarios, desactivar las soluciones antivirus e instalar una carga útil de minería.
- Apenas 15 minutos después del acceso inicial, los autores de la amenaza se desplazaron lateralmente hacia los controladores de dominio y los archivos compartidos mediante la creación de servicios remotos. Dichos servicios se utilizaron para ejecutar comandos de PowerShell, así como para descargar y ejecutar el malware Tor2Mine .
- 30 minutos después del acceso inicial, se descargó el archivo binario del ransomware BlueSky y se ejecutó en la cabeza de playa. El tiempo transcurrido hasta el ataque de ransomware fue de tan solo 32 minutos.
La fase de ejecución
Durante esta fase del ataque, el autor del ataque estableció un shell de comando mediante el procedimiento almacenado SQL ampliado (xp_cmdshell). Esto permite al usuario introducir comandos a nivel del sistema operativo directamente en la línea de comandos de Windows. A continuación, el actor ejecutó una baliza de Cobalt Strike y un script de PowerShell que se utilizan en la campaña para desplegar Tor2Mine programas maliciosos.
El primer script de PowerShell ejecutó un comando para descargar un beacon de Cobalt Strike. A esta acción le siguió otra ejecución de PowerShell y, a continuación, una conexión a varios servidores y direcciones URL Tor2Mine . Tor2Mine utiliza scripts de PowerShell para comprobar si el usuario activo es un administrador y para verificar la versión del sistema operativo. A continuación, descargará otro script que es una versión para PowerShell de Mimikatz. Puede desactivar soluciones antivirus como MalwareBytes, Sophos y Windows Defender.
El malware también comprobará si el usuario dispone de privilegios. En tal caso, se descargará e instalará la versión correcta del minero y se crearán varias tareas programadas y servicios.
Ransomware BlueSky
El archivo binario del ransomware BlueSky acabó siendo depositado en la cabeza de playa con el nombre de vmware.exe. La ejecución de este archivo binario provocó un ataque de ransomware en toda la red, que finalmente se llevó a cabo a través de SMB, ya que el ransomware se conectó a los equipos a través del puerto 445 para cifrar los archivos.
A estos archivos cifrados se les cambió el nombre para que tuvieran la extensión .bluesky. El ransomware dejó una nota de rescate en forma de archivo .txt con el nombre «# DECRYPT FILES BLUESKY #.txt».
El ataque en su conjunto solo duró aproximadamente 30 minutos, con un alcance limitado y sin que se produjera ninguna filtración de datos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Aunque «The DFIR Report» acaba de publicar este informe sobre una intrusión que tuvo lugar hace aproximadamente un año, muchas de las TTP siguen siendo relevantes y se utilizan ampliamente en la actualidad.
Este ataque resulta interesante porque no se observó ninguna filtración de datos, lo que probablemente contribuye a que todo el ataque durara apenas algo más de 30 minutos. Además, el hecho de que el tiempo transcurrido hasta la aparición del ransomware fuera de 32 minutos constituye un doloroso recordatorio de la rapidez con la que un actor malicioso puede alcanzar sus objetivos y, por lo tanto, de lo importante que resulta una clasificación oportuna de las alertas.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
