Se ha descubierto una sofisticada campaña de malware de varias etapas, que
combina la ingeniería social con un abuso inteligente de servicios legítimos
en la nube y herramientas de investigación de Windows. Los investigadores de
seguridad de
FortiGuard Labs han detallado
una cadena de ataque que comienza con un simple «documento comercial» y
termina con una carga útil de ransomware destructiva, todo ello sin pasar por
las defensas estándar.
La campaña no se destaca por utilizar exploits de día cero, sino por la
eficacia de las herramientas «lives off the land», reutilizando plataformas confiables como GitHub y Dropbox para entregar su
carga maliciosa.
«El ataque comienza con señuelos de ingeniería social entregados a través
de documentos con temas empresariales elaborados para parecer rutinarios y
benignos».
Estos archivos actúan como un juego de manos.
«Estos documentos y los scripts que los acompañan sirven como distracciones
visuales, desviando a las víctimas hacia tareas falsas o mensajes de estado
mientras la actividad maliciosa se ejecuta silenciosamente en segundo
plano». Mientras el usuario se centra en el señuelo, el malware ya se está
afianzando.
Una de las características más llamativas de esta campaña es el uso de
DefendNot, una herramienta creada originalmente por investigadores de seguridad para
demostrar las debilidades de Windows Defender. Los atacantes han convertido
esta investigación en un arma.
«Una característica definitoria de esta campaña es el abuso operativo de
Defendnot, una herramienta de investigación diseñada originalmente para
demostrar las debilidades en el modelo de confianza del Centro de seguridad
de Windows».
En lugar de aprovechar un error de software, los atacantes utilizan esta
herramienta para desmantelar sistemáticamente las defensas del objetivo.
«En esta campaña, DefendNot se reutiliza para desactivar Microsoft
Defender», cegando efectivamente el punto final antes de que lleguen las cargas más
pesadas.
Para evadir la detección de la red, los atacantes ocultan su infraestructura
detrás de nombres confiables.
«Los actores de amenazas aumentan aún más la resiliencia al separar el
alojamiento de la carga útil en múltiples servicios de nube pública».
- GitHub se utiliza para distribuir los scripts que organizan el ataque.
- Dropbox alberga las cargas binarias más pesadas.
Este «enfoque de alojamiento modular» hace que el tráfico parezca una
actividad empresarial legítima, lo que complica los esfuerzos por bloquear o
cancelar la operación.
Una vez que las defensas están bajas, la campaña cambia de rumbo. Implementa
Amnesia RAT
para obtener control a largo plazo sobre el sistema.
«La implementación de Amnesia RAT permite el reconocimiento a largo plazo,
el robo de credenciales y el control interactivo del sistema».
Pero el final es la destrucción. La cadena de ataques culmina con el
despliegue de ransomware posterior y componentes de WinLocker, diseñados para
imponer la denegación de datos y aplicar una presión psicológica sostenida
sobre la víctima.
FortiGuard Labs advierte que esta campaña representa una clase moderna de
amenaza que no necesita romper el software para entrar.
«Esta cadena de ataque demuestra cómo las campañas de malware modernas
pueden comprometer todo el sistema sin explotar las vulnerabilidades del
software».
Al abusar de las funciones nativas de Windows y de las herramientas
administrativas confiables, los atacantes pueden deshabilitar las defensas
antes de implementar herramientas de vigilancia persistentes y cargas útiles
destructivas.
Para contrarrestar el abuso de la API del Centro de seguridad de Windows por
parte de DefendNot,
Microsoft recomienda
que los usuarios habiliten la protección contra manipulaciones para evitar
cambios no autorizados en la configuración de Defender y monitorear llamadas
API sospechosas o cambios en el servicio de Defender.
Se insta a las organizaciones a monitorear los cambios anómalos en la
configuración de seguridad y el tráfico inesperado a los servicios de
almacenamiento en la nube, ya que la detección temprana de estos
comportamientos es fundamental para detener la infección antes de que la
recuperación sea imposible.
Fuente:
SecurityOnline