PDFSIDER es una variante de malware recientemente identificado que se
distribuye mediante la carga lateral de DLL, diseñado para implementar de
forma encubierta una puerta trasera con capacidades de Comando y Control (C2)
cifradas. El malware utiliza un archivo cryptbase.dll falso para eludir
los mecanismos de detección de endpoints.
El malware es una Amenaza Persistente Avanzada (APT), con características como
ejecución sigilosa, comprobaciones anti-VM y comunicaciones cifradas. PDFSIDER
combina comportamientos tradicionales de ciberespionaje con la funcionalidad
moderna de comandos remotos, lo que permite a los operadores recopilar
inteligencia del sistema y ejecutar comandos de shell de forma
encubierta.
La DLL contiene una biblioteca criptográfica Botan totalmente integrada,
configurada para utilizar cifrado autenticado AES-256-GCM, un claro indicador
de que los actores de la amenaza emplean protocolos C2 seguros y bien
estructurados. Una vez cargado, el malware proporciona a los atacantes un
shell de comandos interactivo y oculto, y puede exfiltrar la salida de
los comandos a través de su canal cifrado.
El
informe técnico de ReSecurity
describe los componentes técnicos del malware, el flujo de trabajo de
ejecución, los mecanismos de evasión y los indicadores clave para respaldar
los esfuerzos de detección y respuesta.
1. Infección inicial y distribución
PDFSIDER comenzó esta campaña mediante correos electrónicos de phishing
selectivo que tenía un archivo ZIP adjunto. Este ZIP contiene un archivo EXE
legítimo, denominado «PDF24 App».
PDF24 Creator
es una aplicación de Miron Geek Software GmbH que permite crear archivos PDF
desde cualquier aplicación.
La cadena de infección comienza cuando la víctima abre el archivo EXE, que no
se muestra al ejecutarse en el equipo.
El archivo EXE tiene una firma legítima y con certificados válidos; sin
embargo, el software PDF24 presenta vulnerabilidades que los atacantes
pudieron explotar para cargar este malware y eludir eficazmente los sistemas
EDR. El malware parece basarse en la carga lateral de DLL, una técnica en la
que una DLL maliciosa se coloca junto a una aplicación legítima que la carga
automáticamente.
Cuando la víctima ejecuta el programa legítimo, PDF24.exe carga la
DLL del atacante en lugar del archivo cryptbase.dll del sistema real,
lo que permite la ejecución del código.
Una vez cargado, PDFSIDER inicializa Winsock, establece comunicaciones cifradas,
recopila información del sistema e inicia su bucle de puerta trasera.
2. Ejecución en memoria
PDFSIDER opera principalmente en memoria, minimizando los artefactos de disco.
El malware proporciona ejecución remota completa de comandos al iniciarse,
realizando varias acciones. Crea canales anónimos y construye una cadena de
comandos usando cmd.exe /C [attacker-supplied command].
Este comando se ejecuta con el indicador «CREATE_NO_WINDOW», lo que
garantiza que no aparezca ninguna consola visible. El malware extrae toda la
información del sistema, crea un ID único y transmite la salida al atacante.
Manejo de datos cifrados C2
El malware utiliza la biblioteca criptográfica Botan 3.0.0 para el cifrado,
incorporando varios componentes para comprobar si hay fallos en las etiquetas
de cifrado. Los datos también se autentican mediante AEAD en modo GCM, lo que
proporciona un alto nivel de seguridad. Este tipo de implementación
criptográfica es típica del malware de
shell remoto utilizado en ataques dirigidos, donde mantener la
integridad y la confidencialidad de las comunicaciones es fundamental.
Tecnología Anti-VM
PDFSIDER cuenta con una rutina de validación de entorno multietapa diseñada
para detectar entornos aislados, máquinas virtuales (VM) y laboratorios de
análisis. El malware utiliza la función GlobalMemoryStatusEx para
evaluar la RAM total del sistema; los sistemas con poca RAM (comúnmente
asociados con entornos aislados o virtuales) activan una salida anticipada.
Además, incluye comprobaciones para detectar la presencia de un depurador, lo
que garantiza que el malware evite su ejecución en un entorno controlado o
monitorizado.
Los actores maliciosos alquilaron un VPS configuraron un servidor C&C que
enviaba los datos cifrados al puerto DNS 53 en la ubicación especificada, el
cual se utilizó para exfiltrar los datos comprometidos.
PDFSIDER es una puerta trasera robusta y sigilosa, diseñada para acceso
encubierto a largo plazo, ejecución flexible de comandos remotos y
comunicaciones cifradas, lo que se alinea más con las técnicas de espionaje
que con malware con fines financieros.
Señuelo
Los cibercriminales pueden usar diversos señuelos para inducir a las víctimas
a abrir documentos maliciosos. En uno de los episodios recientes de la misma
campaña, el cibercriminal también utilizó un documento falso diseñado para
aparentar ser creado por la Oficina de Inteligencia del EPL del Departamento
de Estado Mayor Conjunto de China.
Cabe destacar que la mayoría de los artefactos identificados en la campaña
PDFSIDER evaden las soluciones antivirus y de eliminación de datos (EDR) más
populares. Actualmente, ReSecurity interpreta PDFSIDER como una técnica
empleada en ataques dirigidos, en lugar de una distribución masiva.
Considerando la técnica de carga lateral de DLL, este vector de ataque puede
ser explotado eficazmente por actores avanzados para eludir los sistemas
antivirus (AV) y de detección y respuesta de endpoints (EDR). Según nuestro
equipo de investigación,
PDFSIDER ya está siendo utilizado activamente por varios actores de
ransomware como método de entrega de carga útil.
Fuente:
ReSecyurity