Esta semana, CTI analiza un nuevo informe en el que se detallan las últimas actividades atribuidas al grupo de amenazas ChamelGang, vinculado a China, que está atacando activamente dispositivos Linux. A continuación, CTI investiga una variante de malware dedicada al robo de información conocida como Skuld. Por último, CTI concluye con una descripción general de una campaña masiva de phishing de tipo « » que han descubierto recientemente los investigadores de Bolster.
1. Los piratas informáticos chinos utilizan DNS sobre HTTPS para la comunicación de malware en Linux
Un nuevo informe de Stairwell saca a la luz las actividades del grupo de amenazas vinculado a China « » (ChamelGang), que está infectando dispositivos Linux con un implante hasta ahora desconocido denominado ChamelDOH. La puerta trasera permite la comunicación entre los sistemas afectados y los dispositivos de los atacantes a través del protocolo DNS sobre HTTPS.
Positive Technologies documentó por primera vez las operaciones de ChamelGang, , en , ya en September 2021. Sin embargo, dicho informe solo se centró en el uso que hacía el grupo malintencionado de un conjunto de herramientas de Windows. El nuevo informe de Stairwell destaca la ampliación del arsenal de malware de ChamelGang, así como las actualizaciones en las tácticas, técnicas y procedimientos (TTP) del grupo y en los indicadores de compromiso (IOC).
Detalles técnicos
El informe de Stairwell se centra en ChamelDOH, un implante que facilita la comunicación de mando y control (C2) mediante túneles DNS sobre HTTPS (DoH), ocultando su actividad entre el tráfico de red y haciendo que la identificación y el bloqueo de las comunicaciones del implante resulten extremadamente difíciles (si no imposibles, sin visibilidad del tráfico HTTPS).
- El implante es un archivo binario de gran tamaño escrito en C++ que permite el acceso remoto al sistema en el que se ejecuta.
- El implante utiliza un esquema base64 modificado para codificar sus comunicaciones como subdominios de un servidor de nombres controlado por un atacante. Esto le permite recopilar información del sistema, identificar y analizar un dispositivo infectado, así como llevar a cabo operaciones básicas de acceso remoto, entre las que se incluyen la carga y descarga de archivos, su eliminación y su ejecución.
- El implante utiliza una serie de llamadas al sistema para generar un objeto JSON que contiene diversos datos obtenidos tras el reconocimiento.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«La atribución del implante ChamelDoH a la banda ChamelGang, vinculada a China, es posible gracias al uso por parte del malware para Linux de un dominio asociado anteriormente con dicho actor malicioso, así como a una herramienta personalizada de escalada de privilegios que ya se había mencionado en el informe de Positive Technologies al que se hace referencia al principio de este resumen.»
«Según Stairwell, es probable que este grupo haya dedicado importantes recursos a la investigación y el desarrollo de un conjunto de herramientas para intrusiones en Linux que sea tan sólido como el arsenal de este grupo de ciberamenazas centrado en Windows».
2. Un nuevo malware llamado «Skuld», basado en Golang, roba datos de Discord y del navegador de ordenadores con Windows
Trellix ha dado a conocer recientemente una nueva variante de malware dedicada al robo de información, conocida como Skuld, que ataca aplicaciones como Discord, navegadores web y carpetas. Parece que el desarrollador de Skuld se ha inspirado en diversos proyectos de código abierto y muestras de malware.
Lo que debe saber sobre Skuld
Trellix señala que Skuld ha afectado a sistemas Windows en toda Europa, el sudeste asiático y Estados Unidos. Además, se ha detectado una coincidencia con varios programas de robo de datos disponibles públicamente, entre los que se incluyen Creal Stealer, Luna Grabber y BlackCap Grabber.
Durante su investigación, Trellix también detectó un grupo de Telegram que utilizaba el mismo alias que el del supuesto desarrollador de Skuld. Esto podría indicar la existencia de planes futuros para promocionar la oferta de Skuld como un servicio dirigido a otros ciberdelincuentes.
Puntos clave sobre Skuld
- Todos los ejemplos de Skuld están escritos en Golang 1.20.3 y utilizan una amplia variedad de bibliotecas para llevar a cabo las distintas tareas que admiten.
- Al iniciarse, el programa «stealer» carga una serie de parámetros, rutas y expresiones regulares en una estructura interna de mapa de cadenas que posteriormente da soporte a los distintos módulos. Tras configurar un entorno de ejecución, el malware muestra a la víctima un mensaje de error falso antes de ejecutar diversos módulos para sustraer información.
- Antes de comenzar a sustraer información, Skuld comprueba si está siendo analizado por un producto de seguridad o por un investigador, examinando diversas propiedades del entorno. Si Skuld confirma que está siendo supervisado, interrumpirá su ejecución.
- Skuld utiliza tres técnicas diferentes para comprobar si el sistema al que se dirige es una máquina virtual o no. La primera técnica comprueba si la resolución de pantalla del sistema es superior a 200x200 píxeles. De lo contrario, da por hecho que se está ejecutando en un entorno virtual. La segunda técnica comprueba si la memoria RAM total supera los 2,000,000,000 bytes. Y la tercera técnica comprueba diferentes claves del Registro relacionadas con la información sobre el vídeo y el disco del sistema. Si alguno de ellos contiene información relacionada con VMware o VirtualBox, la aplicación se cierra.
- Las comprobaciones finales de Skuld consisten en obtener los procesos en ejecución del sistema y compararlos con una lista de bloqueados predefinida. Si algún proceso coincide con un elemento de la lista de bloqueo, el malware lo cierra.
- Una vez que Skuld confirma que está operando en un entorno real y no en uno virtualizado, comienza a sustraer información de la víctima.
- Skuld dispone de varios métodos para sustraer información de Discord. En primer lugar, intenta inyectar código JavaScript en el módulo «discord_desktop_core». Para eludir las funciones de seguridad de Better Discord, el malware corromperá el archivo «%APPDATA%\BetterDiscord\data\betterdiscord.asar», sustituyendo la cadena «api/webhooks» por la cadena «ByDeathined». Tras inyectar su código, Skuld intenta robar los códigos de seguridad de Discord —que constituyen una alternativa a los códigos de autenticación multifactorial— y hacerse con el control de la cuenta.
- A continuación, Skuld se centra en la información almacenada por los navegadores basados en Chromium y Gecko. La información sustraída del navegador incluye datos locales, datos de inicio de sesión, cookies, historial, descargas y tokens de sesión. Una vez obtenida la información, se archiva y se comprime en un archivo denominado «browsers.zip», y posteriormente se extrae del sistema.
¿Quién es el responsable de Skuld?
El desarrollador de Skuld se conoce con el seudónimo de «Deathined». Trellix encontró en primer lugar el perfil de GitHub de un usuario con el mismo alias, cuya URL de la imagen de avatar coincidía con la «icon_url» que figuraba en el pie de página del webhook de Discord de Skuld.
La cuenta de GitHub de Deathined indica que su titular sabe programar en Golang, lo que sin duda coincide con el lenguaje del malware Skuld. La cuenta de GitHub también se creó recientemente, en April 2023 , apenas unas semanas antes de que se llevara a cabo la investigación de Trellix.
En el marco de su investigación sobre la identidad digital del presunto desarrollador, Trellix buscó otras cuentas con el mismo nombre de usuario y encontró una cuenta de Reddit creada también en abril. Además, descubrieron una cuenta de Tumblr con el mismo apodo. Por último, encontraron una cuenta de Carrd que incluye un enlace a la conocida cuenta de Twitter, @deathined.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Skuld es otro malware más que se suma a la tendencia de Golang. Trellix resume muy bien las crecientes preocupaciones en torno al malware desarrollado en Golang:
El auge del malware escrito en Golang supone un motivo de gran preocupación en el cambiante panorama de la ciberseguridad. A medida que Golang va ganando popularidad, los ciberdelincuentes han aprovechado sus puntos fuertes para desarrollar nuevas variantes de malware que suponen una grave amenaza para los usuarios y las empresas.
3. Una campaña masiva de phishing utiliza 6,000 sitios web para suplantar a 100 marcas
Un nuevo informe publicado por el equipo de investigación de amenazas de Bolster revela el descubrimiento de una campaña de phishing a gran escala —que, según se informa, lleva en marcha desde June 2022 — en la que se suplantan más de 100 marcas populares de ropa y calzado en ataques diseñados para engañar a las víctimas y que introduzcan sus credenciales de cuenta e información financiera en sitios web fraudulentos.
Detalles de la campaña
- Según BleepingComputer, entre las marcas que se suplantan en los sitios web falsos mencionados anteriormente se encuentran Nike, Puma, Asics, Vans, Adidas, Columbia y varias otras.
- La campaña de phishing fue descubierta por el equipo de investigación de amenazas de Bolster, cuyos analistas informan de que la operación comenzó aproximadamente en June 2022 y alcanzó su punto álgido entre November 2022 y February 2023.
- La campaña se basa en al menos 3,000 dominios únicos y aproximadamente 6,000 sitios web, incluidos los inactivos.
Infraestructura de phishing
El informe de Bolster incluye una descripción general de la infraestructura utilizada en los ataques de phishing de la campaña. Los dominios asociados a esta operación fueron rastreados por quienes la descubrieron hasta el número de sistema autónomo (ASN) AS48950.
De Bolster:
Las direcciones IP de estos dominios están alojadas en dos proveedores de servicios de Internet concretos: Packet Exchange Limited y Global Colocation Limited. Cabe señalar que ambos proveedores tienen una reputación negativa en lo que respecta al riesgo de fraude.
Los investigadores de Bolster señalan asimismo que una mayoría significativa de los dominios implicados (aproximadamente 1,500) están registrados en el registrador de dominios ALIBABA.COM SINGAPORE E-COMMERCE PRIVATE LIMITED. En cuanto a la duración de la existencia de estos dominios, su antigüedad varía. Algunos tienen aproximadamente dos años, mientras que una parte considerable se ha registrado recientemente, en los últimos 90 días más o menos.
BleepingComputer se pronunció de la siguiente manera respecto a la antigüedad de los dominios sospechosos:
La antigüedad de un dominio es un factor crucial en las operaciones de phishing, ya que cuanto más tiempo permanece activo un dominio sin causar ningún daño, menos probable es que las herramientas de seguridad lo señalen como sospechoso. Dejar que un dominio tenga una antigüedad de al menos dos años es algo que Confiant señaló el año pasado, tras observar esta táctica en una campaña global de publicidad maliciosa que la ha venido utilizando con éxito desde 2018. En la campaña descubierta por Bolster, muchos de los dominios maliciosos permanecieron activos durante tanto tiempo sin que se denunciaran que el buscador de Google los indexó y ahora es probable que aparezcan en los primeros puestos de los resultados de búsqueda para determinados términos.
Esta estrategia resulta especialmente eficaz para los ciberdelincuentes que pretenden atraer a víctimas desprevenidas para que visiten sitios web de phishing, partiendo de la idea de que el usuario medio asocia una posición alta en los resultados de búsqueda de Google con la autenticidad y la fiabilidad de dicho dominio.
Cabe destacar que los dominios de esta estafa siguen un patrón repetitivo: el nombre de la marca de la que se suplantan la identidad se utiliza junto con el nombre de una ciudad o un país, seguido de un dominio de nivel superior (TLD) genérico, como .com.
Según los investigadores de Bolster, la campaña mantenía más de 10 sitios web falsos diseñados para imitar los de diversas marcas populares. Según se ha informado, cada dominio fraudulento se diseñó de forma muy similar al sitio web auténtico de cada empresa.
Medidas recomendadas
Bolster ofrece algunas recomendaciones para ayudarle a evitar los ataques de phishing y los sitios web falsos que se hacen pasar por marcas conocidas.
De Bolster:
Asegúrese de que se encuentra en la página web oficial de la marca comprobando el dominio original de la misma. Esté atento a cualquier indicio de nombres de dominio sospechosos. Si se encuentra con una oferta o un precio de un producto que parece demasiado bueno para ser verdad, debería tomar medidas adicionales para verificar la legitimidad del dominio. Asimismo, es fundamental que las empresas protejan sus activos digitales frente a los ataques de suplantación de marca para evitar que se vea perjudicada la reputación de su marca. Si los clientes (o los empleados, socios y otras personas de su red) caen víctimas de una estafa en la que se hace pasar por su organización, esto puede disuadirles de comprarles en el futuro, además de generar críticas negativas, mala prensa y un boca a boca desfavorable.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta campaña sirve para recordar por qué es importante que los usuarios mantengan un alto nivel de concienciación y precaución, especialmente a la hora de realizar compras por Internet y de navegar de forma esporádica por sitios web de comercio electrónico».
«Las campañas de phishing son cada vez más convincentes». Esta situación se agravará a medida que los ciberdelincuentes tengan un acceso cada vez más fácil a la inteligencia artificial (IA) y los modelos de aprendizaje automático. «Cada vez resulta igualmente complicado mantener a los trabajadores al día sobre las últimas amenazas transmitidas por correo electrónico, los métodos de ingeniería social y otras tácticas, técnicas y procedimientos (TTP) en constante evolución que utilizan los ciberdelincuentes».
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
