Esta semana, CTI analiza por qué el marco de mando y control Sliver (C2) está ganando popularidad entre los autores de amenazas como alternativa de código abierto a herramientas como Cobalt Strike y Metasploit. A continuación, analizaremos en profundidad la última evolución de Emotet. Asimismo, se incluye una descripción general de una operación en la que un actor malicioso, presuntamente vinculado a China, aprovechó una vulnerabilidad recientemente corregida en FortiOS SSL-VPN de Fortinet, utilizando el fallo como una vulnerabilidad de día cero en ataques dirigidos contra una entidad gubernamental europea y un proveedor de servicios gestionados (MSP) con sede en África.
1. Los autores de amenazas recurren a Sliver como alternativa de código abierto a los populares marcos de trabajo C2
Sliver es una herramienta que utilizan los profesionales de la seguridad en las operaciones del «equipo rojo» para controlar de forma remota los equipos comprometidos durante las evaluaciones de seguridad. Se trata de un marco de trabajo multiplataforma para la fase posterior a la explotación, basado en Golang, comparable a Cobalt Strike y Metasploit.
Según un nuevo informe de Cybereason publicado en , titulado « » (se abre en una nueva pestaña), Sliver está ganando cada vez más popularidad entre los ciberdelincuentes, en gran medida porque es de código abierto, modular y multiplataforma (OS X, Linux y Windows), lo que lo convierte en una herramienta flexible y práctica. Este marco de trabajo admite muchas de las capacidades fundamentales necesarias para la simulación de adversarios, como la generación dinámica de código, la ofuscación en tiempo de compilación, el modo multijugador y otras muchas.
El ecosistema de Sliver C2 se compone de cuatro elementos principales. Cuenta con una consola de servidor que actúa como interfaz principal, un servidor C2 , una consola de cliente y un implante que hace las veces de código malicioso que se ejecuta en un sistema de destino.
Actores maliciosos que utilizan actualmente Sliver C2
APT29/Osito acogedor
Se ha observado que APT29, vinculado a Rusia, ha sido utilizado por diversas organizaciones que emplean Sliver C2 para garantizar la persistencia en una red comprometida. Un informe del Centro Nacional de Ciberseguridad (se abre en una nueva pestaña) (NCSC) señala que el uso de Sliver fue probablemente un intento de mantener el acceso a varias víctimas.
TA551
Proofpoint ha identificado los siguientes correos electrónicos: (se abre en una nueva pestaña),y , que contenían archivos adjuntos de Microsoft Office con macros que provocaban la instalación del marco de trabajo Sliver C2 . En este caso, Sliver se cargó tras el vector de infección inicial, a diferencia de los TA551 casos observados anteriormente.
Lirio exótico
Cybereason ya había informado anteriormente sobre (se abre en una nueva pestaña) las infecciones por el cargador BumbleBee, lo que condujo a la implementación del marco C2 . Se ha observado que Exotic Lily está propagando una infección del cargador «BumbleBee», lo que finalmente condujo a la implementación de Sliver C2.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Sliver ha sido utilizado como arma por los autores de amenazas desde su lanzamiento en 2020 y sigue ganando popularidad entre la comunidad de ciberdelincuentes».
«Aunque Sliver es un marco de trabajo impresionante (de ahí que los actores maliciosos lo utilicen de forma activa), no es el único marco de código abierto que estos están aprovechando». Empire es otro marco de trabajo de C2 que está ganando popularidad gracias a la amplia gama de capacidades que ofrece y con las que permite llevar a cabo ataques. All of this to say – open-source C2 frameworks likely aren’t going anywhere when it comes to cybercrime.”
2. El malware Emotet vuelve a la carga con nuevas técnicas de evasión
Un blog (se abre en una nueva pestaña) elaborado por el equipo de Investigación e Inteligencia de BlackBerry analiza en profundidad la última oleada de correos electrónicos de Emotet, que utilizan un nuevo método para engañar a los usuarios y que estos autoricen las macros con el fin de descargar el dropper.
Entre las últimas incorporaciones al arsenal de Emotet se incluyen un propagador para pymes destinado a facilitar el movimiento lateral y un programa de robo de datos de tarjetas de crédito que ataca a los navegadores Chrome.
Acerca del malware Emotet
Emotet es un troyano que se propaga principalmente a través de correos electrónicos no deseados. Comenzó como un troyano bancario, pero en la actualidad se considera principalmente una infraestructura como servicio y se utiliza como «dropper» para la distribución de programas como TrickBot, el ransomware Ryuk y Qbot.
El FBI colaboró con organismos policiales extranjeros y socios del sector privado en una iniciativa coordinada para desmantelar Emotet a principios de 2021. Con el fin de desarticular la infraestructura de Emotet, las fuerzas del orden se hicieron con el control de la misma y la desmantelaron desde dentro. Sin embargo, la desarticulación de la infraestructura de Emotet no fue suficiente para detener el malware. Emotet ha vuelto a aparecer en el panorama de amenazas y ha comenzado a encabezar la lista de Proofpoint de actores con mayor volumen de actividad, distribuyendo miles de correos electrónicos al día.
El creciente conjunto de herramientas de Emotet
Emotet ha ido evolucionando desde sus inicios. Ahora puede albergar una serie de módulos, cada uno de los cuales se utiliza para distintos aspectos relacionados con el robo de información y que envían información a los servidores C2 .
También se ha observado que Emotet inyecta módulos personalizados junto con herramientas gratuitas de libre distribución y los va modificando a lo largo de los años. Por ejemplo, un módulo añadido recientemente está diseñado para atacar el navegador Google Chrome con el fin de sustraer la información de tarjetas de crédito almacenada. Otro módulo añadido recientemente es un módulo de propagación SMB (Server Message Block), que permite el movimiento lateral.
Para cargar algunos módulos utilizados anteriormente, Emotet también recurre a una técnica de inyección conocida como «Heaven’s Gate». Se trata de un método muy conocido que utiliza el malware para eludir los ganchos de la API Windows64 (WoW64) de Windows, mediante la inyección de procesos maliciosos de 32 bits en procesos de 64 bits. A través de Heaven’s Gate, los cargadores de Emotet utilizan la técnica de «hollowing» de procesos para suspender un proceso legítimo y, a continuación, reasignar su imagen con código malicioso. A continuación, este código malicioso se ejecuta desde el proceso, que ya ha sido vaciado, para cargar módulos.
El componente de ingeniería social de Emotet
El verano pasado, Microsoft decidió desactivar las macros de forma predeterminada, lo que obligaba al usuario a activarlas cada vez. La última oleada de correos electrónicos de spam de Emotet incluye archivos .xls adjuntos que engañan a los usuarios para que autoricen estas macros con el fin de descargar el dropper.
- Cuando un usuario descarga un archivo .xls desde el correo electrónico, el vector de infección depende totalmente de que el usuario active las macros para que se pueda instalar el dropper de Emotet. Para ello, Emotet recurre a la ingeniería social con el fin de convencer a los usuarios de que, en esencia, comprometan su propio equipo.
- En esta nueva campaña, se indica a los usuarios que trasladen el archivo recién descargado a la carpeta «Plantillas» de Excel. Dado que Microsoft considera automáticamente de confianza esta carpeta, la función «Vista protegida» ignora cualquier archivo que se ejecute desde esta ubicación, lo que permite que las macros se ejecuten sin ningún problema.
- Cuando se ejecutan las macros, estas se conectan a Internet para descargar y ejecutar el malware Emotet. El dropper de Emotet se descarga en una carpeta generada aleatoriamente como un archivo .dll y se le asigna un nombre generado aleatoriamente. A continuación, Emotet se ejecutará en segundo plano y se conectará al servidor C2 para descargar malware adicional.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Cada vez que Emotet vuelve a aparecer en las noticias, parece aún más sofisticado que la última vez». Esta campaña en concreto es un ejemplo claro de cómo los autores de las amenazas adaptan sus estrategias en respuesta a los intentos de obstaculizar sus actividades. En este caso, Microsoft decidió bloquear las macros de forma predeterminada, y Emotet respondió: «No pasa nada, simplemente nos ejecutaremos desde una carpeta que ignore esta «Vista protegida»».
«La respuesta de Emotet a la decisión de Microsoft se basa exclusivamente en la ingeniería social para convencer al usuario de que copie el archivo malicioso en una ubicación que permita la ejecución de las macros sin obstáculos. «La ingeniería social sigue funcionando, y Emotet es una prueba más de ello».
3. Unos piratas informáticos chinos aprovechan una vulnerabilidad de Fortinet y utilizan un exploit de día cero para introducir malware
Según Mandiant, un actor malicioso presuntamente vinculado a China explotó con éxito una vulnerabilidad recientemente corregida en Fortinet FortiOS SSL-VPN (se abre en una nueva pestaña), y aprovechó el fallo como una vulnerabilidad de día cero en ataques dirigidos contra una entidad gubernamental europea y un proveedor de servicios gestionados (MSP) en África.
¿Qué es el CVE-2022-42475?
El December 12, 2022, Fortinet publicó un aviso del PSIRT y notificó a los clientes que corrían el riesgo de verse afectados por CVE-2022-42475 (se abre en una nueva pestaña) y su explotación por parte de actores maliciosos patrocinados por el Estado.
Se describe el CVE-2022-42475 como una vulnerabilidad de desbordamiento de búfer basada en el montón en FortiOS SSL-VPN. Podría permitir que un atacante remoto no autorizado ejecutara código o comandos arbitrarios mediante solicitudes diseñadas específicamente para ello.
Fortinet menciona al menos un caso en el que se ha aprovechado esta vulnerabilidad en el mundo real. El PSIRT recomienda encarecidamente a los usuarios de FortiOS SSL-VPN que realicen de inmediato comprobaciones de vulnerabilidad, analizando sus sistemas y cotejándolos con la amplia lista de indicadores de compromiso (IOC) facilitada por el PSIRT.
Los indicadores de compromiso (IOC) incluyen la presencia de entradas específicas en los registros, así como la presencia de múltiples artefactos en los sistemas de archivos de los dispositivos afectados y conexiones salientes hacia cualquiera de las direcciones IP sospechosas facilitadas por Fortiguard.
La explotación
La explotación de la vulnerabilidad CVE-2022-42475 por parte de un actor malintencionado presuntamente vinculado a China se produjo ya el October 2022, al menos casi dos meses antes de que se publicaran las correcciones.
Mandiant no afirma haber observado directamente la explotación de la vulnerabilidad CVE-2022-42475, pero las muestras de la variante para Linux de BOLDMOVE contenían una dirección IP C2 codificada de forma fija que Fortinet ha incluido en su lista de direcciones implicadas en la explotación de dicha vulnerabilidad. Mandiant considera que esto es indicativo de que se ha aprovechado la vulnerabilidad CVE-2022-42475 con el fin de distribuir el malware de puerta trasera BOLDMOVE.
El malware que finalmente se distribuyó como resultado de esta actividad —identificado como BOLDMOVE por Mandiant— es descrito por la empresa de inteligencia como una nueva cepa con variantes tanto para Windows como para Linux, diseñada específicamente para ejecutarse en los cortafuegos FortiGate. Mandiant descubrió por primera vez la puerta trasera BOLDMOVE en diciembre de 2022.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Esta operación sirve para recordar a los responsables de seguridad las vulnerabilidades y las lagunas en materia de visibilidad a las que se enfrentan constantemente las organizaciones cuando se encargan de gestionar redes y servicios de forma remota.» Debido a las limitaciones impuestas por las configuraciones de los dispositivos necesarios para ello, también resulta difícil evaluar el alcance y la magnitud de la actividad maliciosa derivada del aprovechamiento de los equipos de red expuestos al público.
«La dificultad inherente a intentar detectar procesos maliciosos o llevar a cabo búsquedas proactivas en dispositivos gestionados tiene, básicamente, como consecuencia la aparición de puntos ciegos en el perímetro de las redes afectadas».
Manténgase al día de las últimas noticias sobre inteligencia en materia de amenazas cibernéticas consultando nuestra biblioteca de informes de resumen.
