Nuevo ataque de malware almacena cargas útiles en el registro de eventos de Windows

0
(0)

Los investigadores de seguridad han descubierto malware nuevo que utiliza el registro de eventos de Windows para almacenar códigos maliciosos. Los investigadores señalan que esta es la primera vez que se observa la técnica en la naturaleza como parte de una campaña de malware.

ventanas de registro de eventos de ataques de malware
a través de Securlist / Kaspersky

El troyano que se usa en el ataque está oculto en el sistema, ya que no está vinculado a un archivo específico en el sistema. En cambio, el atacante lo planta en el registro de eventos de Windows para futuras ejecuciones.

El actor de amenazas no ha sido identificado ni vinculado a ninguno de los grupos de malware activos, según Kaspersky.

Los investigadores de Kaspersky describen cómo el actor malicioso usó varios métodos y técnicas evasivas para evitar ser detectado en los sistemas informáticos atacados. Los módulos cuentagotas se utilizaron en el ataque para «parchear las funciones API nativas de Windows» que están relacionadas con el seguimiento de eventos y las interfaces de análisis antimalware.

El ataque sofisticado comenzó en septiembre de 2021, cuando Kaspersky notó la fase inicial del ataque. Los atacantes utilizaron el marco Cobalt Strike en el ataque, pero el primer paso comenzó a nivel de usuario. El objetivo descargó un archivo RAR del sitio de alojamiento de archivos file.io y lo ejecutó después. Según Kaspersky, se utilizaron diferentes escenarios y técnicas de ataque para otros objetivos, pero todos los ataques parecen haber incluido un reconocimiento inicial de los objetivos y preparativos para ataques adicionales.

El método descrito les dio a los atacantes la capacidad de inyectar código en los procesos, y esto se usó para inyectar módulos adicionales en Windows y aplicaciones confiables. Cobalt Strike no fue el único conjunto de herramientas que usaron los atacantes. Kaspersky identificó rastros del marco SilentBreak y varios troyanos, ThrowbackDLL.dll y SlingshotDLL.dll, recibieron el nombre de las herramientas Throwback y Slingshot del marco SilentBreak.

El nombre de archivo de uno de los cuentagotas, sb.dll, también podría ser una referencia al marco, según los investigadores. Algunas de las herramientas parecen estar hechas a la medida, y algunos nombres de funciones se ofuscaron para reducir la probabilidad de detección e identificación.

Uno de los ataques analizados comenzó con la inyección de código en los procesos de Windows después de que se produjera la infección inicial. El cuentagotas eliminó rastros de etapas anteriores del ataque del sistema como parte de los mecanismos de evasión de detección que implementaron los atacantes.

Luego copió el controlador de errores legítimo del sistema operativo, WerFault.exe a C:WindowsTasks y plantó un recurso binario encriptado llamado wer.dll en el mismo directorio para el secuestro del orden de búsqueda de DLL. El secuestro de orden de búsqueda de DLL, a menudo también conocido como precarga de DLL, es una forma de ataque común que intenta priorizar un archivo DLL malicioso sobre el legítimo.

Las aplicaciones necesitan importar funciones de archivos de biblioteca para su uso. La importación se realiza de forma implícita o explícita y, desde Windows XP, se utiliza una lista de ubicaciones prioritarias para determinar la primera DLL candidata. La primera prioridad del orden de búsqueda es la carpeta de la aplicación del ejecutable; le sigue el directorio del sistema, el directorio del sistema de 16 bits, el directorio de Windows y varios otros directorios.

Todo lo que un atacante necesita lograr es colocar la DLL maliciosa en una ubicación que tenga una prioridad más alta que la DLL legítima.

Luego agregó el WerFault.exe recién creado a la ejecución automática del sistema operativo agregándolo a SoftwareMicrosoftWindowsCurrentVersionRun para que el acceso sea persistente.

El cuentagotas wer.dll es inofensivo por sí solo, ya que requiere el shellcode en el registro de eventos de Windows para su ejecución.

Plantar código de ataque en el registro de eventos de Windows

a través de Securelist / KasperskyUno de los aspectos únicos de la campaña de malware fue el uso del registro de eventos de Windows para el almacenamiento de la carga útil. La principal ventaja de esto es que el enfoque sin archivos hace que la carga útil sea más difícil de detectar.

El cuentagotas intenta cargar el código en el registro de eventos de Windows; si no existe, se escribe como fragmentos de 8 KB utilizando la función API de Windows ReportEvent(). Los datos, si existen, se cargan y luego se combinan mediante un subproceso separado y luego se ejecutan en el sistema de destino.

El lanzador «transmite el control al primer byte del» shellcode según la investigación de Kaspersky. Envía datos que se utilizan para ejecutar la siguiente etapa del ataque:

  • Se revela la dirección del siguiente troyano utilizado en el ataque.
  • Un hash ROR13 estándar de una función exportada.
  • Direcciones de dos cadenas, que se convierten en los «argumentos de la función exportada».

Aquí nuevamente, se utilizaron técnicas de evasión para reducir la visibilidad del ataque.

El troyano de última etapa se comunica con un servidor C&C (comando y control) mediante HTTP con cifrado RC4 o comunicación no cifrada con canalizaciones con nombre. Envía una cadena vacía pero encriptada al principio para probar la conexión.

El troyano de última etapa toma las huellas digitales del sistema de destino, recopilando información como el nombre de la computadora, la dirección IP local, la arquitectura, la versión del sistema operativo, los valores de MachineGUID que se encuentran en SOFTWAREMicrosoftCryptography y si el proceso tiene SeDebugPrivilege.

El servidor de comando y control responde con un código propio, que designa la siguiente acción que debe realizar el troyano. Entre las opciones se encuentran la ejecución de comandos personalizados, descargar archivos desde una URL específica y guardarlos en una ruta específica en el sistema, obtener una lista de todos los procesos e información, o inyectar y ejecutar Shellcode en el espacio de direcciones del proceso de destino.

El troyano basado en canalizaciones con nombre se encuentra en C:Windowsapds.dll, imitando la biblioteca legítima del módulo de servicios de datos de ayuda de Microsoft del mismo nombre, que se encuentra en C:WindowsSystem32.

Técnicas anti-detección que usaron los atacantes

Los atacantes utilizaron una amplia gama de técnicas anti-detección para pasar desapercibidos:

  • Uso de varios compiladores diferentes-
  • Lanzadores incluidos en la lista blanca.
  • Uso de certificados digitales. Se firmaron 15 archivos con certificados «Fast Invest».
  • Exportaciones de registro de parches de ntdll.dll.
  • Colocación de Shellcode en el registro de eventos de Windows.
  • Imitación de dominio web C2.

Kaspersky considera que el uso del registro de eventos de Windows para el almacenamiento de la carga útil es la «parte más innovadora» de la campaña de malware. Toda la campaña es sofisticada, ya que utiliza al menos dos marcos comerciales y varios «tipos de RAT de última etapa y envoltorios antidetección».

Información adicional sobre el ataque está disponible en lista segura.

publicitario

¿Le ha parecido útil este contenido?

¡Haz clic en una estrella para puntuar!

Promedio de puntuación 0 / 5. Recuento de votos: 0

Hasta ahora, ¡no hay votos!. Sé el primero en puntuar este contenido.