En el resumen de esta semana, CTI analiza el troyano modular conocido como Zloader, que ha reaparecido con una nueva versión tras un paréntesis de casi dos años. A continuación, CTI investiga una nueva entidad conocida como VexTrio, que ha establecido colaboraciones con decenas de actores maliciosos y desarrolladores de malware como parte de un amplio programa de afiliados delictivos. Por último, CTI concluye con un análisis del ransomware Kasseika y sus posibles vínculos con BlackMatter.
1. Zloader vuelve tras su parón
El troyano modular « » Zloader (se abre en una nueva pestaña) ha reaparecido con una nueva versión tras un paréntesis de casi dos años.
La nueva variante incluye técnicas de ofuscación actualizadas, un algoritmo de generación de dominios (DGA) actualizado, cifrado RSA para las comunicaciones de red y compatibilidad con las versiones de 64 bits de Windows.
¿Qué es Zloader?
El troyano Zloader tiene su origen en el troyano bancario Zeus, que se descubrió en 2007. Este malware destaca por su capacidad para evolucionar de una campaña a otra y ha recibido actualizaciones de forma continua desde su aparición.
En April 2022, Microsoft tomó medidas contra el malware Zloader de (se abre en una nueva pestaña), colaborando con los proveedores de telecomunicaciones para desarticular la infraestructura del malware. Desde entonces, el malware ha permanecido inactivo.
Anti-análisis
La variante de Zloader utiliza el hash de importación de la API, código basura, una comprobación del nombre de archivo y la ofuscación de cadenas para dificultar su análisis. Esta variante solo importa unas pocas funciones de la biblioteca kernel32 , mientras que el resto de las importaciones se resuelven en tiempo de ejecución mediante sumas de comprobación. Aunque esta técnica ya se observaba en versiones anteriores de Zloader, la nueva variante ha actualizado su implementación añadiendo una constante XOR que varía en cada muestra.
La nueva variante de Zloader también cuenta con una función anti-sandbox. Cuando el malware se ejecute con un nombre de archivo concreto, seguirá con su rutina. Si el nombre del archivo no coincide, se detendrá la ejecución para eludir los entornos de pruebas que renombran los archivos.
Cifrado de la configuración estática
La configuración estática de Zloader en esta variante sigue estando cifrada de la misma manera, aunque con una estructura ligeramente diferente. En esta variante, el identificador de la red de bots, el nombre de la campaña y el valor C2s se establecen en posiciones fijas, y una clave pública RSA sustituye a la única clave RC4 que se utilizaba anteriormente para el cifrado.
Los investigadores han detectado 15 nuevas muestras de Zloader que comparten la misma clave pública RSA, lo que podría indicar que, en la actualidad, solo hay un único actor malicioso utilizando este malware.
Algoritmo de generación de dominios
Si el servidor principal C2 del malware no está disponible, recurrirá a un DGA. El algoritmo DGA ha pasado de las variantes anteriores a la nueva variante y ya no utiliza una semilla diferente para cada botnet.
Este código generará 32 dominios cada día utilizando la hora del sistema local a medianoche como valor inicial. Cada uno de los dominios generados tiene una longitud de 20 caracteres y utiliza el dominio de nivel superior .com.
Comunicaciones en red
Zloader ha modificado ligeramente sus comunicaciones de red. Sigue utilizando solicitudes HTTP POST para comunicarse con su C2 , pero ahora recurre a RSA 1,024-bit junto con RC4 y los algoritmos de «cifrado visual» de Zeus.
Más concretamente, el malware utiliza el formato personalizado «Zeus BinStorage», en el que los primeros 128 bytes constituyen la clave cifrada mediante RSA y los bytes restantes se cifran con la clave número Rc4 .
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Zloader fue un malware muy extendido antes de que se desmantelara en 2022. La reaparición del malware tras una operación de desmantelamiento confirma que estas operaciones no siempre constituyen una forma definitiva de acabar con una amenaza cibernética y que, en ocasiones, pueden propiciar que la amenaza resurja en el futuro con un nivel de sofisticación aún mayor.
Las funciones actualizadas de Zloader están a la altura de muchas otras amenazas de malware existentes en la actualidad, lo que lo convierte en un elemento que conviene seguir de cerca y vigilar.
2. VexTrio distribuye malware para más de 60 afiliados
Los investigadores han descubierto una nueva entidad conocida como « » (VexTrio) , que ha establecido colaboraciones con decenas de actores maliciosos y desarrolladores de malware en el marco de un amplio programa de afiliados delictivos.
Infoblox considera que la magnitud de las actividades de « » y «VexTrio» — (se abre en una nueva pestaña),, —, junto con el número de conexiones que mantiene dentro del sector de la ciberdelincuencia, convierte potencialmente a este grupo en el mayor intermediario de tráfico malicioso.
Acerca de VexTrio
VexTrio lleva activo al menos desde el año 2017, e Infoblox lleva unos dos años realizándole un seguimiento. Dado que VexTrio no está vinculado a ningún malware concreto y actúa como intermediario de tráfico, no resulta de todo modo sorprendente que pasara desapercibido durante algún tiempo.
Infoblox señala que VexTrio es la amenaza más extendida en las redes de sus clientes, ya que ha detectado su presencia en más de la mitad de las redes de sus clientes en los últimos dos años.
El objetivo principal de VexTrio es actuar como intermediario de tráfico para los ciberdelincuentes, y los investigadores creen que se ha asociado con al menos 60 afiliados. VexTrio gestiona un sistema de distribución de tráfico (TDS) que redirige el tráfico comprometido hacia diversos tipos de contenido malicioso. Aunque muchos afiliados están utilizando VexTrio, Infoblox ha llegado a la conclusión de que SocGholish y ClearFake remiten a las víctimas a VexTrio.
Los investigadores también han observado que las cadenas de ataque de VexTrio pueden incluir a varios actores y han detectado hasta cuatro en una misma secuencia de ataque.
El papel de los servidores TDS en la red de afiliados de VexTrio
Los servidores TDS desempeñan un papel fundamental en la red de afiliados de VexTrio, y VexTrio los configura y gestiona de una forma que resulta clave para su éxito a largo plazo.
Un TDS analizará el perfil de una víctima para comprobar si se ajusta a los criterios de selección de VexTrio. Si se encuentra una coincidencia, el TDS redirigirá a la víctima a contenido ilícito. Esto permite a los autores de amenazas filtrar el tráfico de tal forma que los visitantes del contenido malicioso sean únicamente aquellos que se ajusten a su perfil.
Una cadena de ataque de VexTrio puede incluir varios servidores TDS que, en conjunto, controlan todo el flujo de tráfico web de principio a fin.
El modelo de negocio de VexTrio
El programa de afiliados de VexTrio funciona de manera similar a la de las redes de afiliados de marketing legítimas. Cada ataque suele implicar infraestructuras propiedad de varias entidades que reenvían el tráfico desde sus propios recursos a servidores TDS controlados por VexTrio.
A continuación, VexTrio redirigirá este tráfico hacia sitios maliciosos de otros agentes maliciosos. Debido a su similitud en cuanto al comportamiento con el tráfico publicitario benigno, Infoblox considera que la actividad de VexTrio podría descartarse fácilmente por error.
Las filiales de VexTrio
Se cree que VexTrio cuenta con numerosos participantes en su ecosistema. VexTrio utiliza parámetros de consulta en las URL y, mediante el análisis de los patrones de estas, los investigadores pudieron determinar que determinados valores de parámetros, en su conjunto, representan a un miembro afiliado concreto.
Infoblox ofreció una visión general de dos filiales de VexTrio:
- de ClearFake: ClearFake es un marco de trabajo de JavaScript malicioso que muestra dinámicamente a los visitantes de un sitio web contenido perjudicial a través de un iframe HTML. Cuando la víctima haga clic en un botón falso de actualización del navegador, su ordenador se infectará con malware. En los últimos meses, el actor malicioso responsable de ClearFake ha redirigido el tráfico de las víctimas hacia un pequeño conjunto de dominios TDS de VexTrio con valores de parámetros constantes. ClearFake utiliza un TDS comercial denominado Keitaro y redirige el tráfico a la URL del TDS VexTrio.
- SocGholish: SocGholish es un conocido malware basado en JavaScript que lleva activo desde el año 2017. Sus operadores forman parte de la red de afiliados de VexTrio desde, al menos, principios de 2022. El actor malicioso SocGholish se aprovecha del tráfico web para redirigir a las víctimas a los servidores de VexTrio TDS.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
VexTrio es otro ejemplo más de hasta qué punto puede tener un carácter empresarial el ecosistema de la ciberdelincuencia. Su modelo de negocio único le ha permitido establecer colaboraciones con una gran variedad de actores maliciosos, incluidos los responsables de algunos programas maliciosos muy conocidos.
VexTrio permite que las cadenas de ataque incluyan a múltiples actores maliciosos, lo que aumenta la gravedad potencial del ataque y dificulta aún más la atribución.
La investigación de Infoblox sobre VexTrio resulta especialmente impresionante, dada la complejidad y el grado de interrelación de dicha entidad. Su análisis es increíblemente exhaustivo y merece la pena leerlo.
3. El ransomware Kasseika lanza ataques de tipo BYOVD
Trend Micro ha analizado en profundidad el ransomware Kasseika de (se abre en una nueva pestaña), y ha encontrado indicios que sugieren que el autor de la amenaza podría haber obtenido el código fuente del famoso ransomware BlackMatter.
El ransomware Kasseika es una de las últimas operaciones en sumarse a la tendencia de los ataques del tipo «traiga su propio controlador vulnerable» (BYOVD).
Cadena de infección y solapamiento con BlackMatter
Kasseika inicia su ataque con un correo electrónico de phishing muy específico de tipo « » y un enlace:. Tras recopilar las credenciales, utiliza herramientas de administración remota para obtener acceso privilegiado y desplazarse lateralmente.
Al igual que otras operaciones de ransomware, Kasseika hace un uso indebido de PsExec para ejecutar sus archivos maliciosos. Kasseika se suma ahora a muchas otras operaciones de ransomware al intentar cerrar los procesos y servicios antivirus para desplegar el ransomware. En los últimos ataques de Kasseika, la operación utiliza un script para comprobar si existe el proceso denominado Martini.exe. Si se detecta este proceso, el ransomware lo cerrará, asegurándose de que solo haya una instancia del proceso en ejecución en el equipo.
Trend Micro ha detectado varios indicadores que se asemejan a los del ransomware BlackMatter. Algunos de estos indicadores incluyen extensiones de «pseudo-rescate» y el uso de una extensión específica como nombre o formato del archivo de la nota de rescate. Un análisis más detallado reveló que la mayor parte del código fuente de este ataque procedía de BlackMatter.
A modo de contexto, se cree que BlackMatter es una nueva versión del ransomware DarkSide, en el que, a su vez, se cree que se basó la operación del ransomware BlackCat.
El mecanismo KILLAV y martini.exe
Martini.exe comprobará en primer lugar si el controlador de Martini se ha descargado correctamente en el equipo. El controlador firmado, Martini.sys, se denominaba originalmente viragt64.sys y forma parte del sistema VirIT Agent. El autor del ataque aprovechó unas vulnerabilidades para utilizar este controlador con el fin de desactivar diversas herramientas de seguridad. Si el archivo Martini.sys no existe en el equipo, el malware simplemente se cerrará por sí mismo.
Si se detecta Martini.sys en el equipo, el malware continuará con su rutina creando e iniciando un servicio. A continuación, Martini.exe cargará el controlador mediante la función CreateFileW. Martini.exe analizará continuamente los procesos activos del sistema y, en cuanto detecte un proceso incluido en la lista, enviará esta información al controlador. Aquí puede consultarse una lista completa de al menos 991 procesos: . (se abre en una nueva pestaña)
El ransomware buscará aplicaciones relacionadas con la supervisión de procesos, la supervisión del sistema y diversas herramientas de análisis. A continuación, detecta los procesos en ejecución relacionados con estas aplicaciones y se cerrará automáticamente si dichos procesos existen. Los archivos obtenidos se extraen de un recurso compartido de red a un directorio local antes de que se ejecute el archivo binario del ransomware, «smartscreen_protected.exe».
Análisis de la carga útil
El ransomware Kasseika es un archivo PE de Windows de 32 bits empaquetado con Themida, un programa conocido por dificultar la ingeniería inversa.
Antes de llevar a cabo el cifrado, el ransomware cerrará todos los procesos y servicios que estén accediendo al Gestor de reinicio de Windows. A continuación, inicia una nueva sesión y comienza a enumerar los hash de sesión o los procesos y servicios a partir de las claves que figuran en esa misma lista. Kasseika elimina las copias de seguridad, cifra los archivos de destino y añade una extensión cifrada a dichos archivos. La nota de rescate se guardará en varios directorios antes de que el ransomware cambie el fondo de pantalla del sistema.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Lo más preocupante de este grupo es que, al parecer, Kasseika está utilizando una cantidad considerable de código fuente de BlackMatter. El ransomware Blackmatter se ha relacionado anteriormente con BlackCat (se abre en una nueva pestaña), que es una notoria y exitosa operación de «ransomware como servicio» (RaaS) (se abre en una nueva pestaña).
No está claro si un antiguo miembro de una de estas bandas de ransomware forma parte ahora de Kasseika, o si la operación simplemente logró acceder de alguna manera al código fuente. Si lo primero es cierto, es posible que veamos más de Kasseika en el futuro.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
