En primer lugar, en el resumen de esta semana, CTI analiza cómo los autores de amenazas están utilizando nuevas variantes del malware Truebot para atacar a organizaciones de Estados Unidos y Canadá. A continuación, CTI analiza una campaña reciente en la que ha participado el grupo de amenazas «Charming Kitten», respaldado por el Estado iraní. La campaña pone de relieve el arsenal actualizado de malware del actor malicioso y sus nuevas tácticas, técnicas y procedimientos (TTP), entre los que destaca su enfoque hacia nuevos sistemas operativos, incluido macOS. Por último, CTI concluye con un resumen de un informe reciente en el que se destaca una campaña de phishing en curso denominada «SmugX».
1. CISA: El aumento de la actividad de Truebot está infectando redes ubicadas en EE. UU. y Canadá
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), la Oficina Federal de Investigación (FBI), el Centro Multiestatal de Intercambio y Análisis de Información (MS-ISAC) y el Centro Canadiense de Ciberseguridad (CCCS) han publicado un aviso conjunto sobre ciberseguridad en respuesta a que los autores de amenazas cibernéticas están utilizando nuevas variantes del malware TrueBot (se abre en una nueva pestaña) contra diversas organizaciones de Estados Unidos y Canadá.
¿Qué es TrueBot?
TrueBot es un programa de descarga de malware que se ha relacionado con una banda de ciberdelincuentes de habla rusa conocida como Silence. Ha sido utilizado por hackers pertenecientes al grupo de amenazas «» TA505 (se abre en una nueva pestaña) (que también estaba vinculado al grupo ciberdelictivo FIN11 ) para desplegar el ransomware CL0P . (se abre en una nueva pestaña)
Según el comunicado conjunto:
Truebot es una red de bots que han utilizado grupos cibernéticos malintencionados, como la banda CL0P Ransomware, para recopilar y sustraer información de sus víctimas... Las variantes anteriores del malware Truebot eran distribuidas principalmente por los autores de amenazas cibernéticas a través de archivos adjuntos maliciosos en correos electrónicos de phishing ; sin embargo, las versiones más recientes permiten a dichos autores obtener también acceso inicial aprovechando CVE-2022-31199 (se abre en una nueva pestaña) — (una vulnerabilidad de ejecución remota de código en la aplicación Netwrix Auditor), lo que permite el despliegue del malware a gran escala dentro del entorno comprometido.
CL0P fue recientemente responsable del ataque masivo de cadena de suministro de día cero contra MOVEit (se abre en una nueva pestaña), así como de los posteriores ataques de extorsión que siguen dirigiéndose contra los usuarios finales de la aplicación y causando estragos financieros en la actualidad.
Resumen de la actividad
Según el comunicado conjunto, las organizaciones autoras han observado un aumento en el número de actores maliciosos que están utilizando nuevas versiones de Truebot, incluso tan recientemente como en 31 May 2023.
A partir de información contrastada procedente de fuentes abiertas y del análisis de variantes recientes de TrueBot, los autores del informe estiman que los autores de las amenazas están distribuyendo ahora nuevas variantes del malware a través de campañas de phishing que incluyen enlaces maliciosos de redireccionamiento y el aprovechamiento de la vulnerabilidad CVE-2022-3119.
Actividad de phishing de TrueBot
En el aviso conjunto se señala que los autores de las amenazas han utilizado principalmente correos electrónicos de phishing como método preferido para distribuir el malware TrueBot. Por lo general, estos correos electrónicos intentan engañar a los destinatarios para que hagan clic en un hipervínculo con el fin de ejecutar malware; sin embargo, los investigadores también han observado que los autores de las amenazas ocultan archivos ejecutables en archivos adjuntos de correo electrónico camuflados como notificaciones legítimas de actualizaciones de software.
Cuando los usuarios interactúan con el archivo ejecutable, este les redirige a dominios maliciosos y activa scripts maliciosos. El aviso conjunto destaca que Truebot puede ocultarse en una amplia variedad de formatos de archivo legítimos.
Explotación de CVE-2022-3119
Si bien el phishing sigue siendo el más utilizado de los dos métodos de distribución de Truebot analizados en el aviso conjunto, los investigadores también han observado que los autores de las amenazas están cambiando de táctica y comienzan a aprovechar la vulnerabilidad CVE-2022-3119 , una vulnerabilidad de ejecución remota de código en Netwrix Auditor.
Al aprovechar esta vulnerabilidad, los actores maliciosos pueden obtener acceso inicial y desplazarse lateralmente por los entornos comprometidos.
¿Qué es FlawedGrace?
Una vez que se descarga el malware, Truebot se renombra a sí mismo y descarga el troyano de acceso remoto (RAT) FlawedGrace (se abre en una nueva pestaña) en el equipo infectado. FlawedGrace puede modificar el registro y los programas de la cola de impresión que gestionan el flujo de documentos hacia la cola de la impresora. Al manipular ambas características, FlawedGrace puede ampliar sus privilegios y lograr la persistencia.
Las cargas útiles cifradas se almacenan en el registro durante la fase de ejecución de FlawedGrace. Además, es capaz de crear tareas programadas e inyectar cargas útiles en los archivos `msiexec.exe` y `svchost.exe`. Cada uno de estos procesos ayuda a «FlawedGrace» a establecer un canal de comunicación de tipo «mando y control» (C2), además de permitir que el RAT cargue las DLL que le permiten lograr la escalada de privilegios.
Según el aviso conjunto, los investigadores también han observado que Truebot inyecta balizas de Cobalt Strike en la memoria, en modo inactivo durante las primeras horas antes de iniciar operaciones adicionales tras la intrusión.
Revelación de pruebas, elusión de la defensa
La primera fase del proceso de ejecución de Truebot consiste en comprobar la versión actual del sistema operativo mediante la función RtlGetVersion y analizar las características del procesador mediante la función GetNativeSystemInfo.
En lo que parece formar parte de una tendencia cada vez más habitual en el sector del malware de uso general, algunas variantes de TrueBot incluyen una gran cantidad de código de relleno. Tal y como explica el comunicado conjunto, la muestra de Truebot analizada contenía más de un gigabyte de código basura diseñado para dificultar, e incluso imposibilitar en algunos casos, las labores de detección y análisis.
Una vez completadas las comprobaciones mencionadas anteriormente, Truebot puede enumerar todos los procesos en ejecución, recopilar datos confidenciales del host y transmitir dichos datos a un flujo de datos codificado, con el fin de preparar el terreno para la ejecución de la segunda fase. Y, teniendo en cuenta la naturaleza de los IOC asociados a la actividad aquí descrita, parece que Truebot también es capaz de detectar protocolos y métricas de seguridad de software relacionados con la hora del sistema. Es probable que estas características tengan como objetivo facilitar la evasión de los sistemas de defensa, pero también pueden resultar útiles para permitir que el malware se sincronice con el reloj interno de un sistema comprometido, lo que facilita la programación precisa de las tareas.
Según el comunicado conjunto:
A continuación, utiliza una extensión .JSONIP (por ejemplo, IgtyXEQuCEvAM.JSONIP) para crear un identificador único global (GUID) de trece caracteres —una cadena de texto de 128 bits que Truebot utiliza para etiquetar y organizar los datos que recopila... Tras generar el GUID, Truebot compila y enumera los datos de los procesos en ejecución en una cadena codificada en hexadecimal de base64 caracteres o en una cadena única... El objetivo principal de Truebot es detectar la presencia de herramientas de depuración de seguridad. Sin embargo, la presencia de herramientas de depuración identificadas no altera el proceso de ejecución de Truebot: los datos se compilan en una cadena codificada en base64 con fines de seguimiento y para eludir las medidas de defensa.
Recopilación y filtración de datos
Una vez completadas las etapas descritas anteriormente, Truebot envía la dirección del ordenador y el nombre de dominio del equipo afectado, junto con el GUID recién generado, a una URL codificada de forma fija mediante una solicitud POST (tal y como se observa en la cadena del agente de usuario).
La solicitud POST inicia y establece una conexión C2 capaz de admitir tráfico bidireccional. Una vez establecida esta conexión, el malware utiliza un segundo dominio ofuscado con diversos fines, entre los que se incluyen, entre otros, la descarga de cargas útiles adicionales, la autorreplicación en el entorno y/o la eliminación de los archivos que han servido de base para la operación hasta ese momento.
Métodos y herramientas de entrega adicionales
La siguiente lista recoge otros vectores de distribución y herramientas con los que se ha relacionado a Truebot:
- Raspberry Robin (malware): Raspberry Robin es un malware con capacidad de propagación en forma de gusano, vinculado a otras familias de malware y que emplea diversos métodos de infección, incluida la instalación a través de una unidad USB.
Raspberry Robin se ha convertido en una de las mayores plataformas de distribución de malware y se ha observado que distribuye Truebot, así como otras cargas útiles posteriores a la infección, como el malware IcedID y Bumblebee.
- Teleport (herramienta): Se ha observado que los autores de amenazas cibernéticas utilizan una herramienta personalizada de exfiltración de datos, a la que Talos denomina «Teleport».
Se sabe que Teleport elude la detección durante la exfiltración de datos mediante el uso de una clave de cifrado codificada de forma fija en el archivo binario y un protocolo de comunicación personalizado que cifra los datos utilizando el Estándar Avanzado de Cifrado (AES) y una clave codificada de forma fija.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Dada la vinculación de TrueBot con organizaciones ciberdelictivas, como el grupo de extorsión y ransomware CL0P y algunas de sus filiales más peligrosas, no sería prudente calificar a TrueBot y a la actividad descrita anteriormente como algo menos que una grave amenaza, sobre todo cuando sus operaciones parecen dirigirse contra organizaciones de forma tan indiscriminada».
2. Análisis de la incursión de «Charming Kitten» en el ámbito de los LNK y el malware para Mac
El último informe de Proofpoint , titulado « » (se abre en una nueva pestaña), analiza una campaña reciente llevada a cabo por Charming Kitten, un grupo de ciberamenazas patrocinado por el Estado iraní. La campaña pone de relieve el arsenal de malware actualizado del actor malicioso y sus nuevas tácticas, técnicas y procedimientos (TTP), entre los que destaca su enfoque hacia nuevos sistemas operativos, incluido macOS.
Resumen de amenazas
En May 2023 , Proofpoint observó que Charming Kitten enviaba un mensaje de conversación inofensivo haciéndose pasar por un investigador sénior del Royal United Services Institute (RUSI).
El correo electrónico, de carácter inocuo, se envió al responsable de relaciones con los medios de comunicación de un experto en seguridad nuclear de un centro de estudios con sede en EE. UU. especializado en asuntos exteriores. En el correo electrónico se solicitaban comentarios sobre un proyecto concreto y se pedía permiso para enviar un borrador para su revisión.
Charming Kitten utiliza diversos proveedores de alojamiento en la nube para llevar a cabo una novedosa cadena de infección que implementa una puerta trasera de PowerShell de recientemente identificada , conocida como GorjolEcho. El autor de la amenaza también adaptó su malware e intentó poner en marcha una cadena de infección contra dispositivos macOS. Proofpoint denomina «NokNok» a esta cadena de infección y a esta puerta trasera.
Dirigirse al público con mensajes inofensivos
«Charming Kitten» suele utilizar mensajes inofensivos para captar a sus víctimas. A medida que continúan las negociaciones sobre el Plan de Acción Integral Conjunto (JCPOA) y Teherán se ve cada vez más aislado dentro de su esfera de influencia, Charming Kitten está centrando la gran mayoría de sus esfuerzos de ataque contra los expertos que probablemente asesoran en materia de política exterior.
En uno de los incidentes observados recientemente, el autor de la amenaza se puso en contacto con su objetivo mediante un correo electrónico aparentemente inofensivo y, posteriormente, recurrió a la suplantación de identidad múltiple, mencionando a otros expertos para intentar ganarse la confianza de la víctima.
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«Las TTP y las nuevas puertas traseras observadas en esta campaña ponen de manifiesto la capacidad de Charming Kitten para adaptar sus cadenas de infección con el fin de seguir teniendo éxito en sus operaciones de espionaje».
«El cambio más destacable de esta campaña es la adaptación de su malware para atacar dispositivos macOS, lo que permite al autor de la amenaza disponer de una gama más amplia de objetivos».
De Proofpoint:
El uso de Google Scripts, Dropbox y CleverApps pone de manifiesto que Charming Kitten sigue apostando por un enfoque multicloud en su intento, probablemente, de minimizar las interrupciones provocadas por los cazadores de amenazas.
3. Unos presuntos piratas informáticos chinos atacan a organismos gubernamentales europeos en la campaña «SmugX»
Un informe reciente publicado por Check Point Research pone de relieve una campaña de phishing en curso denominada «SmugX», que está vinculada a un actor malicioso respaldado por el Estado chino.
El objetivo de la campaña parece ser el espionaje y cuenta con dos cadenas de infección distintas diseñadas para instalar el troyano de acceso remoto (RAT) PlugX.
Detalles de la campaña
Según se informa, la campaña de SmugX se inició en December 2022. Las víctimas de esta operación son los ministerios de Asuntos Exteriores y las embajadas ubicadas en países europeos como el Reino Unido, Francia, Suecia, Ucrania, la República Checa, Hungría y Eslovaquia.
Los documentos de señuelo utilizados en el marco de la campaña de phishing tratan principalmente sobre la política interior y exterior de la Unión Europea.
De un artículo de BleepingComputer sobre la campaña:
Entre las muestras que Check Point recopiló durante la investigación se encuentran:
- Una carta de la embajada de Serbia en Budapest
- Un documento en el que se exponen las prioridades de la Presidencia sueca del Consejo de la Unión Europea
- Una invitación a una conferencia diplomática emitida por el Ministerio de Asuntos Exteriores de Hungría
- Un artículo sobre dos abogados chinos defensores de los derechos humanos
Los señuelos utilizados en la campaña SmugX revelan el perfil de los objetivos del actor malicioso e indican que el espionaje es el objetivo probable de la campaña.
La investigación de Check Point revela que la campaña SmugX aprovecha dos métodos de distribución novedosos (cada uno de los cuales presenta bajas tasas de detección) para desplegar una nueva variante de PlugX, una herramienta de acceso remoto (RAT) asociada predominantemente a múltiples grupos chinos de amenazas persistentes avanzadas (APT) patrocinados por el Estado.
La más destacada de las dos cadenas de ataque utiliza el «HTML smuggling» (de ahí el nombre de la campaña), una técnica cada vez más popular tanto entre los ciberdelincuentes como entre los actores estatales.
Contrabando de HTML: un repaso
Antes de profundizar en las dos cadenas de ataque observadas en esta campaña, dediquemos un momento a repasar el concepto de «contrabando de HTML», que Check Point describe como «una técnica bien documentada...» «Los archivos maliciosos se incrustan en documentos HTML, lo que les permite eludir las medidas de detección basadas en la red».
En la campaña SmugX, la introducción encubierta de código HTML permite la descarga de un archivo JavaScript o ZIP.
Al abrir cualquiera de los documentos HTML maliciosos que forman parte de la operación, se desencadena la siguiente secuencia de acontecimientos:
- En primer lugar, la carga útil incrustada en el código del documento se descodifica y se guarda en un blob de JavaScript, donde se le asigna un tipo de archivo adecuado (es decir, application/zip).
- A continuación, en lugar de utilizar el elemento HTML
<a>, el código JavaScript lo crea dinámicamente. - El blob de JavaScript mencionado anteriormente crea un objeto URL mediante la función createObjectURL.
- El atributo «download» se configura con el nombre de archivo deseado.
- Por último, el código activa la acción de clic, simulando que un usuario hace clic en el enlace e inicia la descarga del archivo.
Check Point señala que, en el caso de las versiones más antiguas del navegador, el código utiliza la función msSaveOrOpenBlob para guardar el blob con el nombre de archivo deseado.
Dos secuencias de ataque diferentes
La campaña SmugX consta de dos cadenas de infección principales, ambas de las cuales comienzan con un archivo HTML.
Esto sirve para guardar la segunda fase en las carpetas de descargas de las víctimas. Existen algunas variaciones en lo que respecta a la segunda etapa. Una de ellas utiliza un archivo ZIP que contiene un archivo LNK malicioso, mientras que la otra cadena emplea JavaScript para descargar un archivo MSI desde un servidor remoto.
- La cadena de archivos SmugX: En el primero de los dos escenarios descritos anteriormente, el archivo HTML oculta un archivo ZIP que contiene un archivo LNK malicioso diseñado para ejecutar PowerShell. Mediante PowerShell, el atacante extrae un archivo comprimido incrustado en el archivo LNK y lo guarda en el directorio %temp%.
- La cadena de JavaScript de SmugX: El segundo de los dos vectores de infección de PlugX utiliza el «contrabando» de HTML para descargar un archivo JavaScript.
Al ejecutarse, el archivo descarga y ejecuta un archivo MSI proporcionado por el servidor remoto de los atacantes. El archivo MSI crea una nueva carpeta y la guarda en el directorio %appdata%\Local, en el que también se almacenan tres archivos extraídos del paquete MSI. Estos tres archivos descargados consisten en un ejecutable legítimo secuestrado, la DLL de carga y la carga útil cifrada.
En lo que respecta a la técnica de carga elegida para esta campaña, apenas hay diferencias con respecto a muchos otros casos de infección por PlugX observados anteriormente; el malware utiliza técnicas de carga paralela de archivos DLL.
PlugX, versión revisada
La carga útil final de esta campaña es PlugX, un implante que los actores de amenazas cibernéticas vinculados a China llevan utilizando desde 2008. Se trata de un programa malicioso modular, lo que le permite funcionar como herramienta de acceso remoto y, al mismo tiempo, admitir una gran variedad de complementos, cada uno con una funcionalidad distinta. Esto es lo que permite a los operadores llevar a cabo una amplia variedad de actividades maliciosas en los sistemas comprometidos. Entre los ejemplos se incluyen el robo de archivos, las capturas de pantalla, el registro de pulsaciones de teclas y la ejecución de comandos.
En lo que respecta a la persistencia, PlugX copia el programa legítimo y el archivo DLL, y los almacena en un directorio oculto creado por el implante. La carga útil cifrada se almacena en una carpeta oculta independiente, y PlugX logra la persistencia añadiendo el programa legítimo a la clave de registro «Run».
Actividad solapada de las APT
La conclusión de Check Point de que la campaña SmugX es obra de un actor malicioso chino no se basa únicamente en el uso que hacen los atacantes del implante PlugX. Los investigadores de la empresa también basan su teoría en el hecho de que la campaña presenta «similitudes significativas con la actividad que otros proveedores de seguridad atribuyen a RedDelta o a Mustang Panda».
Comentarios de los analistas del equipo de inteligencia sobre amenazas cibernéticas de Tanium
«A la luz de los hechos expuestos anteriormente, parece que Check Point acierta al vincular la campaña SmugX con un actor malicioso chino». El objetivo de la campaña es, sin lugar a dudas, la recopilación de información y el espionaje, y los objetivos de la misma coinciden con los intereses estatales del Gobierno chino. «CTI seguirá vigilando esta campaña y cualquier otra relacionada con ella para estar al tanto de cualquier novedad».
¿Tiene alguna reflexión sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
