En el resumen de esta semana, CTI analiza a un actor malicioso conocido como ToddyCat, del que se ha observado que aprovecha las conexiones simultáneas a los entornos de las víctimas para mantener la persistencia y sustraer datos a escala industrial. A continuación, CTI investiga a un actor malicioso norcoreano con posibles vínculos con Kimsuky. Por último, CTI explica cómo el grupo ruso « APT28 » está aprovechando una vulnerabilidad antigua del gestor de impresión de Windows para desplegar una herramienta de piratería informática hasta ahora desconocida denominada «GooseEgg».
1. ToddyCat utiliza herramientas avanzadas para el robo de datos a escala industrial
Recientemente se ha observado que un actor malicioso conocido como ToddyCat aprovechaba conexiones simultáneas a los entornos de las víctimas para mantener la persistencia y sustraer datos.
La campaña utiliza varias herramientas diferentes, muchas de las cuales son nuevas para el actor « » ToddyCat. Los investigadores han desglosado la lista de herramientas utilizadas por el autor en esta última campaña.
Las herramientas de tunelización de tráfico de ToddyCat
ToddyCat disponía de varios túneles hacia la infraestructura infectada, cada uno de ellos implementado mediante herramientas distintas para garantizar su permanencia en el entorno, incluso en caso de que se desactivara uno de los túneles. Este acceso constante a la infraestructura permitió al actor llevar a cabo actividades de reconocimiento agresivas.
- Túnel SSH inverso: Se ha observado que ToddyCat utiliza un túnel SSH inverso para acceder a servicios remotos.
- SoftEther VPN: ToddyCat también utilizó la utilidad de servidor del paquete SoftEther VPN para establecer un túnel. En la mayoría de los casos, el autor cambió el nombre del archivo ejecutable del servidor VPN firmado digitalmente para ocultar su finalidad en el sistema.
- El agente Ngrok y Krong: . En algunos casos, el autor del ataque estableció un túnel hacia un proveedor de servicios en la nube legítimo para acceder a la infraestructura remota. Según Kaspersky, Ngrok es «un agente ligero capaz de redirigir el tráfico desde los dispositivos finales hacia la infraestructura en la nube y viceversa». Se instaló Ngrok en varios servidores y se utilizó para redirigir el tráfico C2 desde la infraestructura en la nube hacia un puerto específico de dichos servidores. El puerto especificado era el mismo en el que otra herramienta llamada Krong estaba a la escucha. Krong es un archivo DLL de carga lateral que cuenta con la firma digital de AVG TuneUp.
- Cliente FRP: Tras establecer varios túneles mediante los métodos mencionados anteriormente, el autor de la amenaza instaló el cliente FRP. Este cliente es un proxy inverso que permite el acceso desde Internet a un servidor local situado detrás de un NAT o un cortafuegos.
Herramientas de recopilación de datos
También se ha observado que ToddyCat utiliza diversas herramientas de recopilación de datos, cada una de las cuales tiene una finalidad distinta.
- Cuthead: Una nueva herramienta que se utiliza para buscar documentos. Su nombre se determinó a partir del campo de descripción del archivo de la muestra identificada por SecureList. La herramienta está compilada en .NET y buscará archivos, almacenándolos en un archivo comprimido. La herramienta permite buscar extensiones de archivo concretas o palabras específicas.
- WAExp: « » es un programa diseñado para sustraer datos de WhatsApp. Está escrito en .NET y tiene como objetivo sustraer datos de la versión web de WhatsApp. La versión web almacena datos sobre el usuario, incluidos los detalles de su perfil, los datos de los chats, los números de teléfono de las personas con las que ha chateado y los datos de la sesión actual.
- TomBerBil: También se observó que el actor utilizaba una herramienta llamada TomBerBil para robar contraseñas de los navegadores.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Es evidente que ToddyCat dedicó mucho tiempo a reflexionar sobre la mejor forma de mantenerse activo en un entorno, y llegó a la conclusión de que lo más adecuado era utilizar varios túneles, por si acaso uno de ellos fuera descubierto y cortado.
Este enfoque, junto con el uso de diversas herramientas de recopilación de datos, requiere un mayor mantenimiento y más gastos generales. Sin embargo, puede resultar bastante eficaz, sobre todo si se incorporan herramientas nuevas o personalizadas.
2. Los piratas informáticos utilizan las actualizaciones de eScan para propagar el malware GuptiMiner
Se ha observado que un actor malicioso norcoreano de tipo « » ( ), con posibles vínculos con y el grupo APT Kimsuky ( ), estaba aprovechando el mecanismo de actualización del antivirus eScan.
El autor de la amenaza logró situarse en una posición de «adversario en medio» ( , AitM) para secuestrar y sustituir el paquete de actualización legítimo de eScan. El ataque tiene como objetivo instalar puertas traseras e introducir programas de minería de criptomonedas a través del malware GuptiMiner.
La cadena de infección
Esta cadena de infección comienza cuando eScan solicita una actualización al servidor de actualizaciones. Al hacerlo, un atacante de tipo «hombre en medio» intercepta y descarga el paquete de actualización, sustituyéndolo por uno malicioso. A continuación, eScan descomprimirá y cargará este paquete, mientras se instala de forma alternativa un archivo DLL que activará el resto de la cadena.
- Etapa 0 – proceso de instalación: Los responsables de esta campaña llevaron a cabo un ataque de tipo «hombre en medio» para descargar un instalador infectado en el dispositivo de la víctima, en lugar de la actualización legítima de eScan. Por el momento, se dispone de pocos detalles sobre cómo llevó a cabo el autor de la amenaza la fase de ataque de tipo «man-in-the-middle» (MitM).
- Etapa 0.9 – Mejoras en la instalación: El proceso de instalación se ha ido perfeccionando con el tiempo y ahora difiere considerablemente del original. En la actualidad, el autor de la amenaza está utilizando tareas programadas, eventos WMI, diferentes etapas posteriores, desactivando Windows Defender e instalando certificados en Windows.
- Fase 1 – Cargador PNG: Un archivo PE ejecutado en la fase 0 actuará como dropper en esta fase y en fases posteriores, conectándose al servidor DNS malicioso del autor de la amenaza. La respuesta obtenida contiene una URL cifrada del servidor C2 real, desde el que el malware solicitará una carga útil adicional en formato PNG. Esta carga útil en formato PNG contiene un código shell que proporciona funcionalidades adicionales en una fase posterior.
- Etapa 2 – Cargador Gzip: Esta es la etapa más breve, en la que el cargador Gzip descomprimirá otro código de shell mediante Gzip y lo ejecutará en un hilo independiente. Este hilo cargará la etapa 3. A lo largo de las distintas operaciones de GuptiMiner, el cargador Gzip no ha sufrido modificaciones.
- Etapa 3 – Puppeteer: Esta etapa se encarga de coordinar las funciones clave del malware, entre las que se incluyen la minería de criptomonedas y la instalación de puertas traseras. Puppeteer supervisará el sistema en busca de procesos en ejecución cada 5 segundos y cerrará herramientas como taskmgr, Autoruns, Wireshark, Wireshark-gtp y TCPView. El malware comprobará una clave del Registro relacionada con el servidor DNS para determinar si el equipo es un servidor Windows. A continuación, obtendrá el número de ordenadores incorporados al dominio e intentará descargar un archivo PNG adicional que contiene la carga útil.
- Stage 4 – puerta trasera: GuptiMiner utiliza dos tipos de puertas traseras. La primera se basa en una versión personalizada de PuTTY e incorpora mejoras para el escaneo SMB local con el fin de permitir el movimiento lateral. La segunda puerta trasera es una puerta trasera modular que, en primer lugar, buscará la existencia de claves privadas o carteras criptográficas almacenadas localmente y, a continuación, inyectará una puerta trasera modular en forma de código shell.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este actor malicioso muestra un alto nivel de sofisticación, ya que recurre a una serie de etapas, funciones y herramientas hasta llegar a la distribución final de la carga útil.
El ataque también culmina con la distribución de XMRig, lo cual, tal y como señala Avast, «resulta un tanto inesperado para una operación tan bien planificada», dado que se detecta con facilidad.
Las coincidencias en materia de infraestructura y prácticas operativas con el conocido actor «Kimsuky» sin duda aumentan el nivel de esta amenaza.
3. El APT28 aprovecha una vulnerabilidad del gestor de colas de impresión de Windows
Microsoft advierte de que Russian APT28 está aprovechando una vulnerabilidad antigua del gestor de impresión de Windows para instalar una herramienta de piratería informática hasta ahora desconocida llamada GooseEgg.
Se cree que APT28 lleva utilizando GooseEgg al menos desde mediados de 2020 y, más recientemente, para explotar CVE-2022-38028. El malware se utiliza para ejecutar aplicaciones específicas desde la línea de comandos con permisos elevados, lo que permite al autor llevar a cabo diversas actividades tras el compromiso del sistema.
APT28: Repaso
APT28 —que Microsoft también conoce como «Forest Blizzard»— suele aprovechar en sus ataques vulnerabilidades de acceso público.
Se ha relacionado a este grupo de ataques persistentes (APT) con la Dirección General de Inteligencia del Estado Mayor ruso (GRU) y, como tal, lleva a cabo ataques centrados en la recopilación de información estratégica. El uso del malware GooseEgg por parte del actor constituye un nuevo descubrimiento.
Cómo utiliza APT28 GooseEgg
- APT28 utiliza GooseEgg para obtener privilegios de acceso y sustraer información del sistema afectado.
- Esta herramienta se utiliza tras haber obtenido acceso inicial al dispositivo.
- Se ha observado que GooseEgg se instala mediante un script por lotes denominado «execute.bat» o «doit.bat».
- El script creará un archivo que contenga comandos para guardar y comprimir las estructuras del Registro. Este archivo ejecutará el programa GooseEgg y establecerá la persistencia mediante una tarea programada.
Un análisis detallado del binario de GooseEgg
El archivo binario GooseEgg ha recibido varios nombres en distintos ataques, entre ellos «justice.exe» y «DefragmentSrv.exe».
El archivo binario puede aceptar uno de cuatro comandos, cada uno de los cuales tiene una ruta de ejecución diferente.
- El primer comando generará un código de retorno personalizado y se cerrará.
- Los dos comandos siguientes activarán el exploit y ejecutarán un archivo DLL o un ejecutable con privilegios elevados.
- El último comando comprobará el exploit y confirmará que se ha ejecutado correctamente mediante el comando «whoami».
Según Microsoft, el nombre del archivo DLL malicioso incrustado suele incluir la expresión «wayzgoose». La DLL se instala en uno de los subdirectorios de instalación que se encuentran en C:\ProgramData, entre los que se incluyen Microsoft, Adobe, Comms, Intel, Kaspersky Lab, Bitdefender, ESET, NVIDIA, UbiSoft y Steam.
Asimismo, se crea un subdirectorio con una cadena generada aleatoriamente, que servirá como directorio de instalación. Un ejemplo de este directorio creado es: «C[:]\ProgramData\Adobe\v2.116.4405». A continuación, se crean claves de registro para registrar un nuevo CLSID.
El exploit sustituirá el enlace a la unidad C: en el gestor de objetos para que apunte al directorio creado anteriormente. Por lo tanto, cuando PrintSpooler intenta cargar determinados componentes, se le redirige al directorio creado.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La aplicación puntual de parches es la mejor defensa contra el APT28. Se sabe que este actor aprovecha las vulnerabilidades con bastante rapidez tras su divulgación pública.
En los últimos meses, se ha observado cómo el actor ha aprovechado una vulnerabilidad en Microsoft Outlook (CVE-2023-23397) y otra en WinRAR (CVE-2023-38831), por citar algunos ejemplos. La capacidad de este grupo para incorporar vulnerabilidades de dominio público en sus ataques es, sin duda, una de las razones por las que ha podido mantenerse activo durante más de una década.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
