En el resumen de esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza algunas de las principales novedades en materia de ciberseguridad de 2023 que siguen representando una amenaza en este nuevo año.
En primer lugar, CTI aborda «Chae$ 4 », la última variante del malware «» Chaes: (se abre en una nueva pestaña). A continuación, CTI investiga al nuevo grupo « 3AM », que ahora tiene como objetivo a empresas internacionales. CTI también ofrece información actualizada sobre el malware DarkGate y el grupo APT «Andariel» de Corea del Norte.
1. Chae$ 4 supone una amenaza para los sectores financiero y logístico
Las empresas del sector financiero y logístico se ven ahora amenazadas por Chae$ 4, una nueva variante del malware Chaes que utiliza un protocolo personalizado de Chrome DevTools para acceder a las funciones del navegador y sustraer datos. Hasta la fecha, Chae$ 4 ha tenido como objetivo (se abre en una nueva pestaña) a los clientes de bancos y plataformas como Mercado Libre, WhatsApp Web, Mercado Pago, el Banco Itaú, MetaMask y el Banco Caixa. Asimismo, ha atacado servicios de gestión de contenidos como WordPress, Magento, Drupal y Joomla.
Chae$ 4 presenta varias mejoras con respecto a la amenaza de malware Chaes original, entre las que se incluyen una arquitectura de código perfeccionada, una mayor modularidad, un cifrado adicional y capacidades de ocultación. Además, la variante se ha migrado a Python y utiliza WebSockets para facilitar la comunicación entre el servidor C2 y sus módulos.
¿Cómo funciona Chae$ 4 ?
Según Morphisec, una infección de Chae$ 4 de (se abre en una nueva pestaña) comienza con la ejecución de un instalador MSI malicioso que se hace pasar por un instalador de JAVA JDE o de un antivirus. Al activar el instalador malicioso, el malware se instala y descarga sus archivos en una carpeta específica y predefinida dentro de %AppData%/. En la carpeta hay bibliotecas de Python, archivos ejecutables y scripts de Python. El malware también descomprime un módulo principal denominado ChaesCore. Tras la inicialización, ChaesCore sigue comunicándose con la dirección C2 para acceder a módulos externos y cargarlos en su sistema de destino.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El malware Chaes lleva circulando al menos desde el November 2020. Esta última variante incluye numerosas mejoras, además de instaladores MSI engañosos que permiten al malware llevar a cabo infecciones en varias fases.
La variante Chae$ 4 , basada en Python, supone una amenaza significativa para las empresas de logística y del sector bancario, debido a su capacidad para eludir los mecanismos de defensa tradicionales. Las empresas de estos sectores deben mantenerse en alerta máxima.
2. El ransomware « 3AM » sigue propagándose
Ya en septiembre, CTI alertó sobre una nueva familia de malware denominada « », conocida como « 3AM» (se abre en una nueva pestaña) : se trata de un ejecutable de Rust de 64 bits capaz de interrumpir servicios, cifrar archivos y eliminar copias de seguridad de volumen. Los autores de las amenazas que se esconden tras 3AM parecen estar utilizando el nuevo ransomware de forma selectiva, razón por la cual solo se han observado unos pocos ataques.
Dos ejemplos recientes del ransomware « 3AM » son los ataques contra Woodruff Enterprises y Share & Harris LLC. Los ataques provocaron el cifrado y la clonación de datos internos importantes. Tras hacerse con el control de los activos, el grupo « 3AM » exigió el pago de un rescate y amenazó con filtrar la información al público. El grupo « 3AM » también se fijó como objetivo a DS Granit, una empresa con sede en Francia dedicada al suministro y la instalación de superficies de granito, cuarzo y cerámica.
¿Quiénes forman el grupo de ransomware « 3AM »?
Symantec descubrió el ransomware « 3AM » (se abre en una nueva pestaña) en 2023 tras un incidente en el que un afiliado implementó dicho ransomware tras un intento fallido de implementar LockBit. El nombre « 3AM » se basa en las referencias que aparecen en la nota de rescate del grupo y en el hecho de que el ataque añade la extensión «.threeamtime» a los archivos cifrados.
Por el momento, aún se dispone de datos limitados sobre 3AM y sus operadores. 3AM parece ser un plan alternativo para los ataques de LockBit que han fracasado. No obstante, es necesario seguir investigando para llegar a una conclusión.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El informe inicial de CTI sobre el ransomware « 3AM » preveía que probablemente se producirían más ataques de «3AM » en un futuro próximo. Unos meses más tarde, como era de esperar, están empezando a salir a la luz más casos del malware « 3AM ». CTI seguirá vigilando de cerca esta tendencia en constante evolución del ransomware en los próximos meses.
3. BattleRoyal implementa DarkGate y NetSupport
Los investigadores de Proofpoint están rastreando a un nuevo operador del malware DarkGate, , (se abre en una nueva pestaña),, , conocido como BattleRoyal. Según Proofpoint, BattleRoyal distribuyó el malware DarkGate en al menos 20 campañas de correo electrónico entre septiembre y November 2023. El grupo envió decenas de miles de correos electrónicos y se centró en docenas de sectores en todo Estados Unidos y Canadá.
A finales de noviembre, BattleRoyal pasó a utilizar NetSupport (se abre en una nueva pestaña), una herramienta de acceso remoto, para establecer la persistencia en los dispositivos finales. BattleRoyal está utilizando actualmente una combinación de correos electrónicos, páginas web comprometidas y señuelos en forma de actualizaciones falsas para incitar a las víctimas a descargar malware.
Tal y como explica Proofpoint, aún no están claras las razones que han motivado el cambio de DarkGate a NetSupport. No obstante, este cambio podría deberse al aumento de la popularidad de DarkGate, que está despertando un mayor interés por parte de los investigadores de amenazas y los profesionales de la seguridad.
BattleRoyal aprovecha una vulnerabilidad de SmartScreen
Proofpoint descubrió que BattleRoyal estaba aprovechando de forma intensiva una vulnerabilidad identificada con el número CVE-2023-36025 para distribuir malware antes de que Microsoft corrigiera el problema en noviembre.
La vulnerabilidad se encuentra en Windows SmartScreen, una función de seguridad que impide a los usuarios acceder a sitios web maliciosos. Esta vulnerabilidad permite a un atacante eludir las defensas de SmartScreen convenciendo a un usuario de que haga clic en un archivo .URL personalizado o en un hipervínculo que conduzca a un archivo .URL.
La campaña de DarkGate Teams tiene como objetivo a las empresas
DarkGate es uno de los troyanos de acceso remoto (RAT) más populares del mercado, y los autores de amenazas lo utilizan cada vez más para atacar a las organizaciones.
En un caso muy sonado, se observó por separado que los autores de las amenazas atacaban Microsoft Teams mediante el cargador DarkGate (se abre en una nueva pestaña). Los autores enviaron mensajes de chat comprometidos a cuentas externas de Office 365 . Además, utilizaron tácticas de ingeniería social para inducir a las víctimas a descargar y abrir archivos maliciosos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La conclusión clave es que BattleRoyal recurre tanto a DarkGate como a NetSupport para seleccionar a sus víctimas. BattleRoyal utiliza NetSupport para controlar los equipos, instalar malware y desplazarse lateralmente por los entornos comprometidos (se abre en una nueva pestaña) y utiliza DarkGate para descargar cargas útiles de malware y sustraer información.
Los investigadores en materia de seguridad prevén que las implantaciones de DarkGate y NetSupport se aceleren en los próximos meses, por lo que se trata de una amenaza importante a la que debe prestar atención. Además, el reciente cambio de DarkGate a NetSupport implica que existe la posibilidad de que este actor pase a utilizar otra carga útil en el futuro.
4. Andariel roba secretos de defensa de Corea del Sur
Según un nuevo informe, , el grupo APT norcoreano Andariel (se abre en una nueva pestaña) ha sustraído aproximadamente 1.2 terabytes de datos tras comprometer la seguridad de decenas de empresas de defensa surcoreanas. El grupo APT Andariel también ha transferido unos 360,000 dólares en bitcoins en concepto de rescates a Corea del Norte.
La Agencia Metropolitana de Política de Seúl afirma que, entre el December 2022 y el March 2023, Andariel accedió a empresas surcoreanas en 83 ocasiones desde la zona de Ryugyong-dong, en Pyongyang, a través de servicios de alojamiento que alquilan servidores a clientes no identificados. La Oficina de Investigación de Seguridad de Corea del Sur está investigando actualmente este asunto en colaboración con la Oficina Federal de Investigación de Estados Unidos (FBI).
Según The Korea Times, Corea del Norte está diversificando actualmente sus tácticas de ciberdelincuencia debido a la caída del valor de las criptomonedas y a las subidas de los tipos de interés en Estados Unidos. Corea del Norte también depende de las plataformas de intercambio rusas para liquidar sus criptomonedas.
El grupo Andariel: un APT formidable
Andariel —una subdivisión del Grupo Lazarus de Corea del Norte— está adquiriendo cada vez más sofisticación y tiene como objetivo una amplia gama de sectores, entre los que se incluyen organizaciones gubernamentales extranjeras, servicios financieros y organismos de defensa, entre otros.
El grupo utiliza diversas herramientas para lanzar ataques contra sus objetivos. Por ejemplo, recientemente se ha observado que Andariel utiliza un troyano de acceso remoto de tipo « » hasta ahora desconocido, denominado EarlyRAT: (se abre en una nueva pestaña). En 2022, Andariel utilizó EarlyRAT durante una serie de ciberataques que aprovecharon la vulnerabilidad de Log4j Log4Shell (se abre en una nueva pestaña).
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como explica un « » de Mandiant en una entrada titulada « » (se abre en una nueva pestaña), el régimen de Corea del Norte está decidido a seguir desarrollando su programa ofensivo y a utilizar las intrusiones cibernéticas para llevar a cabo actividades de espionaje y delitos financieros. La capacidad de estos grupos para llevar a cabo operaciones de ciberespionaje al tiempo que realizan campañas de ciberdelincuencia con fines económicos los convierte en una amenaza más compleja y matizada.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
