En el resumen de esta semana, CTI analiza cómo el actor malicioso TA4557 está atacando activamente a los responsables de selección de personal mediante correos electrónicos directos y malware. A continuación, CTI analiza cómo los autores de amenazas están haciendo un uso indebido de las aplicaciones OAuth para implementar máquinas virtuales destinadas a la minería de criptomonedas, establecer persistencia y lanzar campañas de spam. Por último, CTI concluye con una visión general de los puntos en común en materia de tácticas y objetivos entre el APT «Sandman» y el grupo de amenazas con sede en China «Red Dev 40».
1. TA4557 se dirige a los responsables de selección de personal por correo electrónico
Un actor malicioso conocido como « » TA4557 (se abre en una nueva pestaña) está dirigiendo sus ataques a los responsables de selección de personal mediante correos electrónicos directos que dan lugar a la distribución de malware.
Según Proofpoint, los correos electrónicos iniciales son inofensivos y tienen como objetivo ganarse la confianza de la víctima mostrando interés por un puesto vacante en la empresa. La cadena de ataque comienza en cuanto el responsable de selección responde al correo electrónico.
Estrategia de campaña TA4557’s
En las últimas TA4557 campañas, el autor de la amenaza está utilizando un nuevo método que consiste en enviar correos electrónicos directamente a los responsables de selección de personal, además de una técnica ya conocida que consiste en presentar candidaturas a ofertas de empleo publicadas en portales públicos de empleo.
En la cadena de ataque que utiliza el nuevo método de correo electrónico directo, la víctima debe responder al correo electrónico inicial, que parece inofensivo, para que el ataque se ponga en marcha. Una vez que le responden, el autor de la amenaza les envía una URL que redirige a la víctima a una página web controlada por él, que se hace pasar por el currículum de un candidato.
En otros casos, el actor responde con un documento PDF o Word en el que se indican instrucciones para visitar ese mismo sitio web en el que se aloja el currículum falso. Las campañas más recientes piden al destinatario del correo electrónico que utilice el nombre de dominio de su dirección de correo electrónico para acceder a su portafolio, lo que permite que el correo eluda la detección.
Si la víctima visita la página web tal y como se le indica, verá una página que imita el currículum de un candidato o una página web genérica de empleo dedicada a dicho candidato. La propia página web cuenta con un sistema de filtrado para determinar cuál debe ser la siguiente etapa de la cadena de ataque.
Si no se superan los controles de filtrado, se redirige a la víctima a una página que contiene un currículum en texto sin formato; sin embargo, si sí se superan dichos controles, se le redirige al sitio web del candidato. Esta página web para candidatos utiliza un CAPTCHA y, una vez completado, comenzará a descargar un archivo ZIP que contiene un archivo LNK.
Acerca de TA4557
Proofpoint lleva realizando un seguimiento del TA4557 desde el 2018. Al parecer, el autor actúa por motivos económicos y se sabe que distribuye la puerta trasera «More_Eggs», que analiza un dispositivo y envía cargas útiles adicionales.
Tal y como explica Proofpoint, este actor malicioso se diferencia notablemente de otros actores maliciosos prioritarios a los que la organización está realizando un seguimiento. Esto se debe a su uso singular de malware y herramientas, al empleo de señuelos relacionados con ofertas de empleo, a la segmentación de sus campañas, a sus sofisticadas medidas evasivas, a sus cadenas de ataque distintivas y a la infraestructura controlada por los autores.
Algunas de las actividades anteriores del grupo TA4557 se solapan con las del famoso grupo FIN6 . Además, el malware TA4557’s también es utilizado por , Cobalt Group, y Evilnum.
Aunque existe cierto solapamiento con otros grupos, se sigue considerando que el TA4557 constituye un grupo de actividades propio y diferenciado.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta actividad está dirigida específicamente a los responsables de selección de personal. Dado que el primer correo electrónico del ataque es inofensivo, es poco probable que las soluciones de seguridad del correo electrónico lo detecten. Por ello, resulta fundamental impartir formación y sensibilización sobre el phishing, pero es aún más importante contar con una formación específica sobre el phishing dirigida a aquellas personas que, por el carácter de sus funciones, puedan verse expuestas a tipos más concretos de tentativas de phishing.
2. Los ciberdelincuentes utilizan aplicaciones OAuth para automatizar los ataques de suplantación de identidad empresarial (BEC) y de minería de criptomonedas
Los actores maliciosos están utilizando actualmente las aplicaciones OAuth (se abre en una nueva pestaña) como herramienta de automatización para implementar máquinas virtuales destinadas a la minería de criptomonedas, establecer persistencia tras un ataque BEC y lanzar campañas de spam utilizando los recursos y el nombre de dominio de la organización.
Microsoft ha detectado que los autores de amenazas están lanzando ataques de phishing y de «password spraying» (se abre en una nueva pestaña) contra cuentas que no contaban con una autenticación sólida, pero que tenían permisos para crear o modificar aplicaciones OAuth.
¿Qué es OAuth?
OAuth es un estándar abierto para la autenticación y la autorización basadas en tokens. Permite que las aplicaciones accedan a datos y recursos en función de los permisos establecidos por un usuario. Esto convierte a OAuth en un objetivo atractivo para los actores maliciosos, que podrían intentar comprometer cuentas de usuario con los permisos de acceso adecuados y utilizar dichas cuentas para crear, modificar y otorgar privilegios elevados a aplicaciones OAuth. Estos pueden utilizarse para ocultar otras actividades maliciosas.
Microsoft ha estado realizando un seguimiento del uso indebido de las aplicaciones OAuth y ha señalado que esto permite a un actor malintencionado mantener su acceso a las aplicaciones, incluso si pierde el acceso a la cuenta que se vio comprometida inicialmente.
Aplicaciones OAuth para implementar máquinas virtuales destinadas a la minería de criptomonedas
Microsoft detectó específicamente a un agente malicioso denominado Storm-1283 que utilizaba una cuenta comprometida para crear una aplicación OAuth.
En este caso, el autor de la amenaza lo utilizó para implementar máquinas virtuales destinadas a la minería de criptomonedas. El actor utilizó la cuenta comprometida para iniciar sesión a través de una VPN y creó una nueva aplicación OAuth de inquilino único en Microsoft Entra ID. Dado que esta cuenta tenía un rol de propietario de una suscripción a Azure, el actor malintencionado pudo otorgar el permiso del rol de «colaborador» a la aplicación.
A continuación, el actor aprovechó las aplicaciones OAuth existentes a las que el usuario afectado tenía acceso, añadiendo un conjunto adicional de credenciales a dichas aplicaciones. Las organizaciones afectadas por esta actividad incurrieron en gastos de computación de entre 10,000 y 1.5M dólares.
Aplicaciones OAuth para el BEC y el phishing
En otro ataque, Microsoft detectó que un agente malintencionado estaba comprometiendo cuentas de usuario y creando aplicaciones OAuth con el fin de mantener su presencia en el sistema y lanzar campañas de phishing por correo electrónic .
Se utilizó un kit de phishing de tipo «adversario en el medio» (AiTM) para enviar una amplia campaña de correos electrónicos de phishing con diferentes asuntos y direcciones URL a víctimas de diversas organizaciones. Cuando la víctima hacía clic en la URL incluida en el correo electrónico, se le redirigía a una página de inicio de sesión de Microsoft que se servía a través del servidor proxy del autor del ataque. Esto les permitió sustraer el token de la cookie de sesión del usuario y, posteriormente, utilizar dicho token para llevar a cabo actividades de reproducción de la cookie de sesión.
- Persistencia tras el ataque de «» (BEC): Se observaron algunos casos en los que se produjo actividad adicional tras la reproducción de la cookie de sesión. En algunos casos, el autor de la amenaza utilizaba la cuenta comprometida para llevar a cabo actividades de reconocimiento en el marco del BEC, abriendo en OWA archivos adjuntos de correo electrónico que contenían palabras clave de interés en el ámbito financiero, como «pago» o «factura». A continuación, el autor de la amenaza crearía una aplicación OAuth y actuaría desde la sesión de la cuenta comprometida para añadir nuevas credenciales a dicha aplicación.
- Actividad de suplantación de identidad por correo electrónico: Microsoft ha observado algunos casos en los que el autor de la amenaza no llevó a cabo un reconocimiento previo al BEC, sino que, en su lugar, creó aplicaciones OAuth multitenant tras las acciones de reproducción de la cookie de sesión robada. Estas aplicaciones se utilizaban para mantener la persistencia, añadir nuevas credenciales y acceder a la API de Microsoft Graph, ya fuera para enviar correos electrónicos de phishing o simplemente para leerlos. Microsoft detectó unas 17,000 aplicaciones OAuth multitenant creadas por el actor malicioso en distintos entornos. Asimismo, se observó que el autor de la amenaza creaba reglas en la bandeja de entrada de la cuenta comprometida. En total, las aplicaciones maliciosas enviaron más de 927,000 correos electrónicos de phishing.
Aplicaciones OAuth utilizadas para actividades de envío de spam
Asimismo, se observó una actividad de envío masivo de correo basura a gran escala, llevada a cabo por un actor malicioso denominado Storm-1286. Este actor malicioso llevó a cabo ataques de «password spraying» contra cuentas que, en su mayoría, no tenían activada la autenticación multifactorial (MFA). A continuación, las cuentas comprometidas se utilizaron para crear 1-3 nuevas aplicaciones OAuth mediante Azure PowerShell o un cliente basado en Swagger Codegen. En algunos casos, el autor de la amenaza esperó meses tras crear las aplicaciones para iniciar la actividad de spam.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña solo se prolongó durante unos meses (de julio a noviembre), pero aun así logró enviar casi un millón de correos electrónicos de phishing.
Aunque Microsoft ya ha eliminado todas las aplicaciones OAuth maliciosas que formaban parte de esta campaña, es importante comprender cómo se produjo esta actividad y qué podemos hacer para proteger mejor a nuestras organizaciones frente a ella. Microsoft ha proporcionado varias medidas de mitigación para protegerse contra esta actividad, entre las que se incluyen la aplicación de la autenticación de dos factores (MFA), la activación de políticas de acceso condicional, la auditoría periódica de las aplicaciones y los permisos concedidos, y otras medidas más. Microsoft también ha facilitado diversas consultas de búsqueda.
3. La relación del grupo APT «Sandman» con la puerta trasera «KEYPLUG», con sede en China
Los investigadores han descubierto coincidencias en cuanto a tácticas y objetivos entre el grupo APT «Sandman» ( ) y «Red Dev 40» ( ) (se abre en una nueva pestaña), un grupo de amenazas con sede en China conocido por utilizar la puerta trasera KEYPLUG.
La evaluación conjunta realizada por SentinelOne, PwC y Microsoft (se abre en una nueva pestaña) se basa en el hecho de que se ha determinado que tanto el malware basado en Lua del actor malicioso, denominado LuaDream, como KEYPLUG, se encontraban presentes en las mismas redes de las víctimas.
La relación entre Sandman y Red Dev 40
Red Dev 40 es un grupo de amenazas que tiene como objetivo principal a los proveedores de telecomunicaciones y a las entidades gubernamentales de Oriente Medio y el sur de Asia, de forma similar a lo que hace Sandman. Sandman y Red Dev 40 presentan numerosos vínculos, entre los que se incluyen coincidencias en materia de victimología, la convivencia y la infraestructura y las prácticas de gestión compartidas C2 .
- KEYPLUG, una puerta trasera modular, es una herramienta imprescindible en el arsenal de Red Dev 40’s , aunque también se ha observado su uso por parte de otros actores maliciosos. Se cree que KEYPLUG es un programa compartido por diversos grupos con sede en China.
Red Dev 40 se distingue de otros grupos que utilizan KEYPLUG por características específicas del malware, como las claves de cifrado únicas para la comunicación C2 . También se les conoce por su elevado nivel de seguridad operativa, lo que incluye el uso de una infraestructura de proxy inverso basada en la nube para ocultar la verdadera ubicación de alojamiento de sus C2 servidores.
- LuaDream es una puerta trasera modular basada en LuaJIT. Los investigadores han observado la presencia del malware LuaDream, de Sandman, y de los implantes KEYPLUG en los entornos de las mismas víctimas, algunos de ellos en los mismos dispositivos finales.
En un caso, KEYPLUG se puso en marcha tres meses antes que LuaDream, y ambos estuvieron activos al mismo tiempo durante aproximadamente dos semanas. A look at the implementation and C2 infrastructure of these malware revealed shared development and infrastructure.
LuaDream y KEYPLUG
La variante de malware KEYPLUG está programada en C++, mientras que la mayoría de los componentes de LuaDream están programados en Lua.
Los investigadores analizaron muestras de ambas variantes de malware y confirmaron que, aunque no parecen proceder de la misma fuente, sí presentan indicios de prácticas de desarrollo comunes y otros puntos en común.
Su investigación indica que ambas variantes de malware comparten requisitos funcionales por parte de los operadores, lo cual no es infrecuente en el caso del malware de origen chino.
- C2: Ambas variantes de malware presentan un diseño altamente modular y multiprotocolo. Ambos son compatibles con los protocolos HTTP, TCP, WebSocket y QUIC para la comunicación C2 . El orden en el que el malware evalúa los protocolos configurados es el mismo: HTTP, TCP, WebSocket y QUIC, en ese orden.
KEYPLUG incorpora una compatibilidad adicional con UDP de la que LuaDream carece. No obstante, dado que se cree que LuaDream aún se encuentra en fase de desarrollo, existe la posibilidad de que futuras versiones de LuaDream sean compatibles con UDP.
- de gestión de datos de ejecución/C2 : El flujo de ejecución general de LuaDream y KEYPLUG es muy similar. Ambas comienzan recopilando y extrayendo información del sistema y de los usuarios, y presentan similitudes en cuanto al tipo de datos que recopilan. A continuación, crean subprocesos que se encargarán de enviar y recibir datos C2 , establecer una conexión con el servidor C2 , procesar comandos de puerta trasera y gestionar complementos.
Ambos programas maliciosos almacenan, además, información que se solapa sobre los búferes globales, incluidas las direcciones de memoria iniciales, los tamaños y las referencias a las estructuras CRITICAL_SECTION de Windows. Ambos están diseñados para leer y escribir en estos búferes. Ambas funciones generarán, además, valores puntuales basados en el tiempo de actividad del sistema que devuelve la función GetTickCount. Este valor se calcula de la misma manera y se utiliza para los intervalos de sueño o para las claves específicas del protocolo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El panorama de amenazas en torno a los actores maliciosos con sede en China es increíblemente complejo, sobre todo si se tiene en cuenta la frecuencia con la que estos actores comparten herramientas personalizadas.
Esta disposición a compartir herramientas hace que resulte menos sorprendente que observemos cómo actores como Sandman presentan similitudes en materia de infraestructura y tácticas, técnicas y procedimientos (TTP) con un grupo de amenazas con sede en China.
Además, el malware basado en Lua solo se ha detectado en contadas ocasiones (la más reciente, en los ataques de día cero contra Cisco), por lo que el aumento de la adopción de Lua es, sin duda, algo a lo que hay que prestar atención.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
