Servidores Exchange convertidos en centros de control de malware

Recientemente, se han podido observar compañas de malware que tienen como objetivo la industria de defensa y servidores de Exchange. Las campañas buscan instalar el backdoor “DeliveryCheck” en equipos comprometidos, y se ha atribuido al grupo de actores maliciosos rusos, “Turla”.

Según las observaciones llevadas a cabo por Microsoft y Cert-ua, los responsables de dicha campaña es el grupo malicioso Turla, también conocido como Secre Blizzard, y UAC-0003, quienes has sido vinculados al gobierno ruso, y catalogado como un grupo APT. Los actores maliciosos en cuestión han sido, previamente vinculados a otros tipos de ataques contra países de la región occidental, a través de los años. Ejemplo de esto es “Snake”, campaña de ciber espionaje mediante malware distribuido por botnets. Dicha operación fue interrumpida por acciones conjuntas en la operación denominada “MEDUSA”.

La campaña más reciente de UAC-0003, se encuentra dirigida a fuerzas de defensa con finalidades de espionaje a través del malware denominado “CAPIBAR” también conocido como “DeliveryCheck” por Microsoft, y “GAMEDAY” por mandiant. Según reportes de Microsoft, DeliveryCheck es distribuido mediante correos electrónicos como documentos con macros maliciosas. Su capacidad de persistencia se debe a tareas programadas que lo descarga y lanza en memoria.

Microsoft Exchange

El ataque tiene su inicio mediante correos electrónicos de phishing los cuales tiene adjuntos archivos XLSM con macros maliciosos, una vez activados, los macros ejecutan un comando de PowerShell con la finalidad de crear una tarea programada la cual simula ser un actualizador del buscador de Firefox.

La tarea programada realiza la descarga del backdoor “DeliveryCheck” y lo inicia en la memoria, desde donde se conecta hacia el servidor de comando y control (C2) de los atacantes, desde aquí, el backdoor recibe instrucciones para ejecutar o desplegar posteriormente, payloads de malware, las cuales se son integradas y lanzadas desde un XSLT.

Al mismo tiempo y bajo circunstancias específicas, también se carga el backdoor denominado “KAZUAR” el cual procede a implementar mas de 40 funciones, en los sistemas comprometidos. Entre las funciones, se puede mencionar:

• “chakra”, el cual ejecuta JS mediante ChakraCore,
• “eventlog”, que recupera información de registros del sistema operativo, “forensic”, el cual colecta distintos artefactos,
• “steal” el cual realiza suplantación de identidad: contraseñas, marcadores, autorrelleno, historial, proxies, cookies, filezilla, chromium, mozilla, outlook, openvpn, system, winscp, signal, git, y
• “unattend” el cual ejecuta robo de bases de datos/archivos de configuración de aplicaciones: KeePass, Azure, Gcloud, AWS, bluemix, entre otros.

Luego de infectar los dispositivos mediante el uso de la herramienta Rclone, los actores maliciosos filtran información sensible, a través del backdoor.

La capacidad por resaltar de DeliveryCheck, es la de su componente que convertir a un servidor de Microsoft Exchange, en un servidor de comando y control que puede se utilizado por los actores maliciosos, a su conveniencia. Según lo informa Microsoft el componente se instala mediante la configuración del estado deseado, un modulo de PowerShell que permite a administradores, crear configuraciones de servidor estandarizadas y aplicarlas a los dispositivos.

Esta capacidad se utiliza usualmente para la creación de una plantilla de configuración por defecto, la cual puede ser utilizada para configurar varios dispositivos con las mismas configuraciones, automáticamente.

Según lo expone Microsoft, la utilización de DSC por parte de los actores maliciosos, cumple la finalidad de cargar de manera automática un ejecutable de Windows, cifrado en base 64, lo cual convierte los servidores de Microsoft Exchange legítimos en un servidor de distribución de malware.

Indicadores de Compromiso