Blackcat utiliza publicidad maliciosa de WinSCP

El grupo de actores maliciosos denominados BlackCat (también conocidos como ALPHV) ha sido observado haciendo uso de publicidad maliciosa (malvertizing) con la finalidad de distribuir su malware, mediante páginas web que suplantan la pagina web oficial de WinSCP, una aplicación de transferencia de archivos.

Según observaciones realizadas por el equipo de Trendmicro, los actores maliciosos han estado recientemente abusando de publicidad maliciosa con la finalidad de distribuir malware mediante sitios web que se hacen pasar por sitios legítimos. En el caso puntual que conlleva este artículo, el sitio web utilizado por los actores maliciosos es WinSCP, una aplicación de código abierto para Windows, de transferencia de archivos.

La utilización de plataformas de publicidad por parte de los actores maliciosos para engañar a los usuarios no es una practica nueva, esto debido a la gran utilización de plataformas como Google Ads, por parte de las empresas, para promocionar sus aplicaciones de una mejor manera. Esto no es distinto para WinSCP, con aproximadamente 400,000 descargas semanales.

El grupo malicioso BlackCat ha estado utilizando publicidad maliciosa especifica de WinSCP, en motores de búsqueda como Bing o Google. Cuando el usuario busca “WinSCP Download” la publicidad, en este caso, maliciosa, es mostrada al usuario, el cual al hacer clic sobre esa es redirigido a un sitio web el cual muestra un tutorial de la aplicación en cuestión.

Una vez el usuario es redirigido al sitio web que suplanta al sitio original, este encontrará un botón de descarga el cual procederá a descargar un archivo ISO desde una página web de WordPress infectada. Los archivos descargados se identifican como “setup.exe” y “msi.dll” el primero es el señuelo para que el usuario lo ejecute y el segundo es el gotero de malware activado por el ejecutable.

Cuando el archivo “setup.exe” es ejecutado, esta llama al archivo “msi.dll” el cual extrae un foder de Python desde la sección DLL RCDATA como seria el caso en un instalador genuino de WinSCP. Entre las dos instalaciones de python se encuentra un archivo “python310.dll” troyanizado con la finalidad de crear persistencia en los sistemas vulnerados mediante una clave de ejecución llamada “Python” y el valor “C:UsersPublicMusicpythonpythonw.exe”.

Cuando el ejecutable pythonw.exe comienza, esta carga un python320.dll modificado el cual contiene una baliza de Cobalt Strike que comienza una conexión al servidor de comando y control (C2) de los atacantes.

Seguidamente, múltiples tareas programadas se crean los sistemas comprometidos, con la finalidad de mantener la persistencia en estos. Al mismo tiempo, una vez el modulo de Cobalt strike ejecutándose en el sistema, las acciones a tomas pueden variar, mediante la ejecución de scripts adicionales para la búsqueda de herramientas que permitan el movimiento lateral y permitan al atacante comprometer en mayor medida el sistema.

Según lo observado por los investigadores de trendmicro, el grupo malicioso BlackCat hace uso de algunas herramientas extra para las fases posteriores del ataque, entre estas herramientas, se pueden resaltar las que se listan a continuación:

• AdFind: herramienta de línea de comandos utilizada para recuperar información de Active Directory (AD).
• Comandos PowerShell utilizados para recopilar datos de usuario, extraer archivos ZIP y ejecutar scripts.
• AccessChk64: herramienta de línea de comandos utilizada para el reconocimiento de permisos de usuarios y grupos.
• Findstr: herramienta de línea de comandos utilizada para buscar contraseñas dentro de archivos XML.
• PowerView: Script de PowerSploit utilizado en el reconocimiento y enumeración de AD.
• Scripts Python utilizados para ejecutar la herramienta de recuperación de contraseñas LaZagne y obtener las credenciales de Veeam.
• PsExec, BitsAdmin y Curl, utilizados para el movimiento lateral.
• AnyDesk: herramienta de gestión remota legítima de la que se abusa para mantener la persistencia
• KillAV BAT script utilizado para desactivar o eludir programas antivirus y antimalware.
• Cliente de copia segura PuTTY utilizado para exfiltrar la información recopilada del sistema vulnerado.

Es de resaltar la utilización, por parte del grupo malicioso de la herramienta anti-detección de antivirus y anti-EDR denominado “Terminator”, herramienta que según lo indicado en los foros rusos donde se comercia, tiene la capacidad de eludir herramientas de seguridad de Windows, mediante un ataque de BYOVD; con la finalidad de manipular la protección proporcionada por los agentes.

Recomendaciones

• Implementar un programa de sensibilización y formación sobre phishing y sus consecuencias, así como la su identificación.
• Implementación de un sistema centralizado de registros con la finalidad de recolectar y analizar registros desde varios dispositivos de red y sistemas.
• Tener definido el trafico de red normal para operaciones normales, con la finalidad de detectar cualquier alteración o comportamiento anormal del mismo.
• Implementar sistemas de detección de intrusión (IDS) y así detectar actividad de mando y control, así como cualquier otra actividad de red potencialmente maliciosa.
• No hacer clic en enlaces o anuncios sospechosos y evitar visitar sitios web no seguros.
• Utilizar firewalls y filtrado de contenido para bloquear el acceso a sitios web y servicios maliciosos conocidos.

IOC