Esta semana, CTI analiza un nuevo kit de phishing de tipo «adversario en el medio» (AiTM) asociado a la plataforma de phishing como servicio (PhaaS) Tycoon 2FA . A continuación, CTI investiga un correo electrónico reciente de phishing de « » ( ) que distribuía el malware Agent Tesla. Por último, CTI analiza una nueva variante de la red de bots maliciosa TheMoon que ha infectado miles de routers y dispositivos del Internet de las cosas (IoT) en 88 países.
1. Unos investigadores descubren una nueva versión del kit de phishing «Tycoon 2FA AiTM»
Los investigadores han descubierto un nuevo adversario de « » en el kit de phishing «middle- » (AiTM), asociado a la plataforma de phishing como servicio (PhaaS) Tycoon 2FA .
Tycoon 2FA se ha convertido en uno de los kits de phishing de AiTM más extendidos en los últimos meses. La última versión de Tycoon 2FA , detectada en February 2024, presenta capacidades mejoradas de ofuscación y resistencia al análisis, así como nuevos patrones de tráfico.
Cómo funciona «Tycoon 2FA »
El último kit de phishing «Tycoon 2FA » se basa en la técnica AiTM. El servidor atacante aloja el sitio web de phishing, intercepta los datos introducidos por las víctimas y envía dichos datos al servicio legítimo, que a su vez generará la solicitud de autenticación multifactorial (MFA) de :.
Cuando el usuario complete el proceso de autenticación de dos factores correspondiente y se autentique, el servidor intermediario capturará las cookies de sesión. Estas cookies permiten al autor de la amenaza reproducir una sesión, eludiendo así la autenticación de dos factores (MFA).
- Etapa 0: El ataque comienza con la distribución de páginas de phishing, a menudo a través de redireccionamientos desde direcciones URL y códigos QR. El kit de phishing «Tycoon 2FA » proporciona a sus usuarios plantillas de páginas de phishing, junto con documentos de señuelo para su uso en los propios correos electrónicos.
- Etapa 1: . Una vez que el usuario hace clic en la URL de phishing, se le redirige a una página que incorpora un desafío de Cloudflare Turnstile para impedir el tráfico procedente de bots y analistas. Es necesaria la intervención humana para completar la prueba de seguridad.
- Etapa 2: El código JavaScript se ejecuta en segundo plano antes de redirigir al usuario a otra página. El código HTML de esta nueva página contiene código JavaScript que extraerá la dirección de correo electrónico de la URL, si la hay, para personalizar el ataque.
- Etapa 3: Esta etapa tampoco es visible para el usuario y le redirige a otra página del dominio de phishing.
- Etapa 4: Esta etapa presenta una página de autenticación falsa de Microsoft y se encargará de identificar el navegador web del usuario, iniciar un WebSocket con el servidor C2 , implementar comunicaciones por socket, capturar y extraer los datos introducidos por el usuario, y recuperar la URL de redirección final.
- Etapa 5: La etapa 5 genera y muestra a la víctima la página de Microsoft 2FA , e interceptará el token para eludir las medidas de seguridad.
- Etapa 6: La víctima es redirigida finalmente a una página que parece legítima.
Las novedades más importantes de este ataque son los cambios introducidos en los códigos JavaScript y HTML que se utilizan para el phishing. Las páginas de esta versión han sufrido ligeros cambios y ahora recuperan los recursos necesarios en un orden diferente, filtrando al mismo tiempo el tráfico no deseado procedente de bots y analistas de seguridad.
Sekoia señala que, si bien existían funcionalidades de desofuscación similares entre la versión anterior y la nueva, la estructura general sí que ha cambiado. La principal diferencia radica en las mejoras introducidas en diversas tácticas de ocultación, en las que los recursos maliciosos no se facilitan hasta que la víctima resuelve el desafío de CloudFlare Turnstile.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los cambios introducidos en la última versión de Tycoon 2FA se centran principalmente en la mejora de las técnicas de sigilo y evasión. Esta iniciativa sugiere que el autor malintencionado responsable del kit de phishing pretende ampliar las capacidades del mismo, probablemente con el fin de ganar popularidad.
Sekoia informa de que el alcance de sus operaciones es considerable, y hay indicios de que diversos ciberdelincuentes están utilizando actualmente Tycoon 2FA.
2. Un ataque de phishing disfraza un keylogger como un aviso de pago bancario
En marzo, unos investigadores descubrieron un correo electrónico de phishing que distribuía el malware « » Agent Tesla.
Los propios correos electrónicos incluyen un archivo ejecutable de Windows que se hace pasar por una notificación fraudulenta de pago bancario de , en la que se insta a la víctima a abrirlo. El cargador es capaz de eludir el software antivirus y obtiene su carga útil mediante el uso de servidores proxy para ocultar su tráfico.
La cadena de infección
Este ataque comienza con un correo electrónico de phishing que simula ser una notificación del banco de la víctima. El archivo adjunto es un cargador que emplea diversas técnicas para eludir el análisis y la detección antes de, en última instancia, distribuir el programa de robo de información «Agent Tesla» y ejecutarlo íntegramente en memoria.
El programa de envío/carga de correos electrónicos
El correo electrónico de phishing se hace pasar por una notificación falsa de pago bancario y contiene un archivo adjunto que parece un recibo de pago emitido por un banco.
El archivo tar.gz adjunto contiene un cargador malicioso, compilado mediante .NET, que oculta su funcionalidad mediante ofuscación y compresión. Al iniciarse, descifrará los datos de configuración que necesita para funcionar. Trustwave ha detectado dos versiones diferentes del cargador polimórfico.
Elusión de antivirus/recuperación de la carga útil
El cargador modificará la función AmsiScanBuffer para eludir la interfaz de análisis antimalware (AMSI) con el fin de evitar que el malware analice el contenido almacenado en memoria.
A continuación, se dirigirá a una carga útil alojada en una URL concreta y, para ello, requerirá una cadena de agente de usuario específica. Una de las variantes utiliza un servidor proxy HTTP de una lista de código abierto disponible en GitHub para descargar la carga útil.
Una vez que la carga útil se haya almacenado en la memoria, el cargador utilizará las capacidades de reflexión y carga de ensamblados de .NET para invocar el punto de entrada principal de la carga útil y activar el malware Agent Tesla.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Agent Tesla es un malware muy conocido que suelen utilizar diversos actores maliciosos y que, por lo tanto, se distribuye de múltiples formas diferentes.
Esta forma concreta de distribución del malware destaca porque su cargador emplea diversas técnicas de ofuscación y de evasión del análisis, y «muestra un comportamiento polimórfico con rutinas de descifrado distintas».
Trustwave considera que, por este motivo, el cargador podría utilizarse en el futuro para distribuir distintos tipos de malware.
3. El malware TheMoon ataca a los routers de ASUS
Una nueva variante del malware « » de TheMoon, perteneciente a la red de bots « », ha infectado miles de routers y dispositivos IoT en 88 países.
El malware está vinculado al servicio de proxy «Faceless» de ( ), que utiliza los dispositivos infectados como proxies y redirige el tráfico para los autores de amenazas que desean ocultar sus actividades. La última campaña de TheMoon, que en marzo afectó a más de 6,000 routers de ASUS en menos de 72 horas.
¿Qué es el malware TheMoon?
TheMoon apareció por primera vez en el año 2014 y ha crecido hasta contar con más de 40,000 bots, muchos de los cuales se utilizan en el famoso servicio de proxy Faceless. Los investigadores estiman que TheMoon está aumentando su número de usuarios de Faceless en aproximadamente 7,000 nuevos usuarios por semana.
Black Lotus Labs identificó una campaña que comenzó la primera semana de March 2024 y que tenía como objetivo 6,000 routers de ASUS. Según su análisis, parece que el autor de la amenaza se centró en dispositivos al final de su vida útil.
Análisis de malware
El ataque comenzó con un archivo de carga que comprueba la presencia de determinados shells. Si no se identifica ninguno de los shells, el archivo se detendrá. Si se identifica uno de los shells, este descifrará, descargará y ejecutará la carga útil de la siguiente fase. El binario configurará varias reglas de iptables antes de iniciar un subproceso para conectarse a un servidor NTP, probablemente con el fin de confirmar que el dispositivo dispone de conexión a Internet y que no se trata de un entorno aislado.
A continuación, recorrerá una lista de direcciones IP predefinidas, establecerá una conexión en el puerto 15194 y enviará un paquete predefinido.
Los investigadores han identificado dos módulos, entre los que se incluyen un módulo de gusano y un archivo denominado .sox. El módulo del gusano intenta propagarse escaneando un bloque de direcciones IP en busca de objetivos vulnerables. El archivo .sox, una vez ejecutado, incorporará una funcionalidad para modificar iptables, lo que le permitirá abrir puertos adicionales y descargar otros módulos.
Solapamiento entre TheMoon y Faceless
Black Lotus Labs ha identificado un solapamiento entre los grupos de actividad de TheMoon y Faceless. Al analizar un periodo de 10 días, descubrieron que aproximadamente el 80 % de los bots que interactuaban con Faceless C2s también interactuaban con TheMoon C2.
Cuando un bot se comunica con un servidor de Faceless, se registra en la red de proxies de Faceless. Los investigadores descubrieron que el 30 % de las infecciones se prolongaron durante más de 50 días, mientras que solo el 15 % de los dispositivos formaron parte de la red durante menos de 48 horas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los ciberdelincuentes buscan constantemente formas de llevar a cabo ataques de forma sigilosa y mantener el anonimato. Además de herramientas como las VPN, los autores de amenazas recurren ahora también a los servidores proxy para ocultar sus actividades.
Black Lotus Labs considera que este cambio hacia los servicios de proxy también podría deberse al aumento de las interferencias por parte de las fuerzas del orden, lo que acentúa la necesidad de que los actores maliciosos mantengan el anonimato de su tráfico. Cabe señalar que muchos de los modelos de dispositivos afectados se encuentran al final de su ciclo de vida, lo que pone de relieve una vez más los riesgos asociados a las tecnologías que han llegado al final de su ciclo de vida.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
