Esta semana, CTI analiza en profundidad un informe de CrowdStrike sobre un actor malicioso que utiliza archivos autoextraíbles (SFX) maliciosos para lanzar ataques de puerta trasera. A continuación, CTI analiza un informe de Mandiant en el que se destacan las actividades de un afiliado del ransomware ALPHV/BlackCat, al que se ha observado aprovechando tres vulnerabilidades conocidas de Veritas Backup para acceder a las redes de los objetivos. Por último, CTI concluye con un análisis de un ataque reciente en el que se utilizó una variante de ransomware hasta entonces desconocida, ahora denominada «Rorschach», contra una empresa con sede en Estados Unidos.
1. Los piratas informáticos utilizan archivos autoextraíbles (SFX) para llevar a cabo ataques encubiertos mediante puertas traseras
Los últimos hallazgos de CrowdStrike revelan que un agente malicioso desconocido está utilizando archivos maliciosos autoextraíbles (SFX) de (se abre en una nueva pestaña) para obtener acceso persistente a través de una puerta trasera en redes privadas. Los archivos también contienen archivos señuelo inofensivos que ayudan a eludir la detección.
¿Qué son los archivos SFX?
Los archivos autoextraíbles son archivos ejecutables creados con programas de compresión, como WinRAR o 7-Zip. Contienen datos archivados, junto con el código necesario para descomprimirlos.
- Cada vez son más los investigadores que informan de haber observado cómo los actores maliciosos aprovechan los archivos SFX, que contienen funciones maliciosas ocultas que no siempre son visibles para el destinatario ni para los sistemas de detección basados en tecnología.
- La parte ejecutable del archivo se conoce como «stub de descompresión»; se trata de una herramienta que permite compartir archivos comprimidos con personas que no disponen del software necesario para descomprimir y visualizar archivos comprimidos estándar.
- Dos programas habituales que permiten crear un archivo SFX son WinRAR y 7-Zip. Ambos utilizan un tipo específico de stub de descompresor y ambos presentan características que pueden ser objeto de abuso por parte de los actores maliciosos.
- En ocasiones, los archivos SFX están protegidos con contraseña. Es más probable que se utilicen en entornos empresariales, en los que se emplea un producto comercial para cifrar archivos, lo que hace necesario introducir una contraseña para acceder a ellos. Este mismo método de protección de archivos se utiliza a menudo para facilitar las intrusiones.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«CrowdStrike analizó varias muestras maliciosas de archivos SFX que, o bien estaban protegidas con contraseña, o bien contenían archivos inofensivos, pero que también utilizaban parámetros de configuración de WinRAR para llevar a cabo una ejecución maliciosa. Su análisis reveló que estas muestras presentaban índices de detección relativamente bajos, lo que pone de manifiesto su capacidad para eludir una amplia gama de herramientas de seguridad».
«No es la primera vez que se utilizan indebidamente archivos SFX en ataques». A finales del año pasado, Kaspersky analizó una campaña de malware que utilizaba enlaces a archivos SFX protegidos con contraseña para distribuir automáticamente el programa de robo de datos RedLine. Dicho esto, CrowdStrike considera que el uso indebido de archivos SFX es una tendencia que probablemente continuará en un futuro próximo».
2. El ransomware ALPHV aprovecha los fallos de Veritas Backup Exec para obtener acceso inicial
Mandiant ha observado recientemente que un afiliado del grupo de ransomware ALPHV/BlackCat está aprovechando activamente tres vulnerabilidades del producto « » de Veritas Backup (se abre en una nueva pestaña) para obtener acceso inicial a las redes de los objetivos.
La operación de ransomware ALPHV —a la que Mandiant se refiere como « UNC4466 »— surgió en December 2021 (se abre en una nueva pestaña) y se cree que está dirigida por antiguos miembros de los programas Darkside y Blackmatter, que cerraron de forma repentina para escapar de la presión de las fuerzas del orden. Se sabía que ambas operaciones de ransomware mencionadas anteriormente tenían como objetivo infraestructuras críticas y entidades del sector sanitario, una tradición que ALPHV parece haber mantenido viva y en pleno apogeo. (se abre en una nueva pestaña)
En marzo de 2021, Veritas publicó un aviso de seguridad (se abre en una nueva pestaña)en el que se detallaban tres vulnerabilidades críticas en Veritas Backup Exec 16.x, 20.x y 21.x. En aquel momento, Veritas afirmó que ya existía un exploit conocido para esas vulnerabilidades que circulaba libremente.
Los fallos de seguridad son los siguientes:
1. Veritas Backup Exec podría permitir que un atacante obtuviera acceso no autorizado al agente BE a través del esquema de autenticación SHA.
- Identificador CVE: CVE-2021-27877 (se abre en una nueva pestaña)
- Vector CVSS v3 : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
- Puntuación CVSS global: 8.2 (Alta)
2. Veritas Backup Exec podría permitir que un atacante obtuviera acceso no autorizado al agente BE a través del esquema de autenticación SHA.
- Identificador CVE: CVE-2021-27876 (se abre en una nueva pestaña)
- Vector CVSS v3 : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
- Puntuación CVSS global: 8.2 (Alta)
3. El agente de Veritas Backup Exec podría permitir que un atacante utilizara un comando del protocolo de gestión de datos para ejecutar un comando arbitrario en el equipo en el que se encuentra instalado el agente BE.
- Identificador CVE: CVE-2021-27878 (se abre en una nueva pestaña)
- Vector CVSS v3 : CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Puntuación CVSS global: 8.8 (Alta)
Según se ha informado, Veritas ha publicado una corrección con la versión 21.2. Sin embargo, según Mandiant, «un servicio comercial de análisis de Internet ha identificado más de 8,500 instalaciones de Veritas Backup Exec que actualmente están expuestas a Internet, algunas de las cuales podrían seguir sin tener instalados los parches y, por lo tanto, ser vulnerables».
BleepingComputer señala que en septiembre de 2022 se hizo público un módulo de Metasploit diseñado para aprovechar estas vulnerabilidades. El código permite a los atacantes crear una sesión e interactuar con los dispositivos finales comprometidos.
Al parecer, UNC4466 comenzó a utilizar este módulo concreto un mes después de que estuviera disponible.
Detalles del ataque de ransomware ALPHV
- UNC4466 logró acceder por primera vez a un servidor Windows conectado a Internet en el que se ejecutaba Veritas Backup Exec utilizando el módulo de Metasploit disponible públicamente.
- De este modo, UNC4466 mantuvo un acceso constante al sistema afectado y, tras la intrusión inicial, utilizó las herramientas «Advanced IP Scanner» y «ADRecon» para recabar información sobre el entorno de la víctima.
- A continuación, se observó que el UNC4466 descargaba herramientas adicionales en el equipo afectado, entre ellas Lazagne, Ligolo, WinSW, RClone y, finalmente, el cifrador del ransomware ALPHV a través del Servicio de Transferencia Inteligente en Segundo Plano (BITS).
- Para mantener la comunicación con el servidor de mando y control, el UNC4466 utilizó el protocolo de túnel SOCKS5 . Esto, junto con la descarga de otras herramientas a través de BITS y la implementación de la carga útil del ransomware, se llevó a cabo añadiendo tareas inmediatas a la política de dominio predeterminada, desactivando el software de seguridad y ejecutando el cifrador.
- Para ampliar sus privilegios, UNC4466 utilizó Mimikatz, LaZagne y Nanodump para sustraer credenciales de usuario válidas.
- Por último, el autor del ataque evitó ser detectado borrando los registros de eventos y desactivando la función de supervisión en tiempo real de Microsoft Defender.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Antes de que Mandiant observara cómo esta filial de ALPHV aprovechaba el ataque oportunista a vulnerabilidades conocidas, las intrusiones de ALPHV investigadas por Mandiant se originaban principalmente a partir de credenciales sustraídas, lo que indica un posible cambio en la metodología de esta filial y una ruptura con las TTP tradicionales empleadas por ALPHV».
«Los investigadores en materia de seguridad han destacado constantemente la importancia de disponer de buenas copias de seguridad para permitir la recuperación y minimizar el tiempo de inactividad tras un ataque de ransomware». «Lamentablemente, este caso nos sirve de recordatorio de lo que puede suceder cuando las herramientas de copia de seguridad no se actualizan y quedan expuestas a Internet».
3. Aparece el ransomware Rorschach, lo que lleva a los principales expertos a advertir sobre estrategias de evasión avanzadas
Check Point Research ha detectado una variante de ransomware hasta ahora desconocida — , ahora denominada «Rorschach» (se abre en una nueva pestaña) — que se caracteriza por sus elevadas velocidades de cifrado y por componentes y técnicas técnicas únicas, como el uso de llamadas directas al sistema.
Check Point descubrió Rorschach mientras investigaba un caso de ransomware contra una empresa con sede en Estados Unidos. A diferencia de lo que ocurre en muchos otros casos de ransomware observados, este actor malicioso no intentó ocultarse tras un seudónimo, ni parecía estar vinculado a ninguno de los grupos de ransomware conocidos.
Un análisis más detallado de este ransomware reveló varias características bastante singulares.
- El ransomware es parcialmente autónomo y se propaga automáticamente cuando se ejecuta en un controlador de dominio (DC).
- Además, se comprobó que el ransomware era extremadamente flexible, ya que funcionaba con varios argumentos opcionales que le permitían adaptar su comportamiento a las necesidades del operador.
- Rorschach utiliza llamadas directas al sistema, algo que no suele observarse en las familias de ransomware.
Lo que saben los investigadores sobre el test de Rorschach
Flujo de ejecución
La ejecución de Rorschach utiliza tres archivos:
- Cy[.]exe: la herramienta de volcado de datos «Cortex XDR Dump Service» de Palo Alto, utilizada indebidamente para instalar de forma no autorizada el archivo winutils[.]dll.
- Winutils[.]dll: cargador e inyector «Packed Rorschach», que se utiliza para descifrar e inyectar el ransomware.
- Config[.]ini: Ransomware «Encrypted Rorschach» – contiene toda la lógica y la configuración.
Cuando se ejecuta cy[.]exe, el archivo winutils[.]dll se carga en memoria y se ejecuta en el contexto de cy[.]exe. A continuación, la carga útil principal de Rorschach, config[.]ini, también se carga en la memoria. Se descifra y se inserta en el Bloc de notas, donde comienza la lógica del ransomware.
Tácticas de evasión
Este ransomware genera procesos de una forma bastante inusual, ejecutándolos en modo SUSPEND y proporcionándoles argumentos falsificados para dificultar las tareas de análisis y corrección. El argumento falsificado consiste en una secuencia repetitiva del dígito “1” , cuya longitud depende de la del argumento real. Se reescribe en memoria y se sustituye por el argumento real.
Además, intenta detener servicios predefinidos, elimina volúmenes de sombra y copias de seguridad mediante herramientas legítimas de Windows, borra los registros de eventos de Windows y desactiva el cortafuegos de Windows.
Autopropagación
Cuando el ransomware se ejecuta en un ordenador con Windows, crea automáticamente una política de grupo, propagándose así a otros equipos del dominio.
Para ello, copia sus archivos en la carpeta «scripts» del controlador de dominio y elimina los archivos de su ubicación original. A continuación, creará una política de grupo que se copiará a sí misma en la carpeta %Public% de todas las estaciones de trabajo del dominio. A continuación, crea otra política de grupo para eliminar determinados procesos mediante una tarea programada que ejecuta el archivo taskkill[.]exe. Por último, crea una política de grupo más para registrar una tarea programada que se ejecutará inmediatamente tras el inicio de sesión del usuario.
En qué se parece Rorschach a otros programas de ransomware
Se sospecha que el esquema de criptografía híbrido de Rorschach mencionado anteriormente se ha tomado del código fuente filtrado del ransomware Babuk.
La influencia de Babuk se aprecia en diversas rutinas, entre las que se incluye la interrupción de procesos y servicios. El código utilizado para detener los servicios a través del gestor de control de servicios parece haber sido copiado directamente del código fuente de Babuk. Del mismo modo, la lista de servicios que se van a detener en la configuración de Rorschach coincide de forma 1:1 con la que se filtró en el código fuente de Babuk.
Rorschach también se inspira en LockBit. La lista de idiomas que se utilizan para detener el malware es idéntica a la de LockBit v2.0. El proceso definitivo de cambio de nombre de los archivos cifrados en Rorschach se lleva a cabo exactamente de la misma manera que en LockBit v2.0 .
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Rorschach parece haber tomado prestadas muchas características de familias de ransomware cuyo código fuente se filtró en Internet en algún momento. «Parece que sus desarrolladores han combinado diversas funciones, cuidadosamente seleccionadas, para crear un nuevo y complejo programa de ransomware que reúne las mejores características de las variantes filtradas».
«Las capacidades de autopropagación de Rorschach a través de la política de grupo le permiten extenderse rápidamente y con poca o ninguna intervención manual». «Su rápida velocidad de cifrado es impresionante, pero resulta incongruente dedicar tanto esfuerzo a mejorar el cifrado si se tienen en cuenta los estudios recientes que señalan que los autores de ransomware están empezando a abandonar el cifrado para pasar a una extorsión pura, sin cifrado».
«El tiempo dirá si Rorschach también comienza a alejarse del cifrado o si sus capacidades son lo suficientemente singulares como para sobrevivir y seguir teniendo éxito en un panorama de amenazas en constante evolución».
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
