Sigiloso malware utilizado por nuevo APT Lancefly descubierto tras cinco años de ataques

Un nuevo grupo de hacking de amenaza persistente avanzada (APT) apodado Lancefly utiliza un malware de backdoor personalizado denominado “Merdoor” para así conducir ataques a organizaciones gubernamentales, de aviación y de telecomunicaciones en el sur y el sudeste de Asia.

El malware personaliado de Lancefly, el cual ha sido denominado como MerDoor, es una poderosa puerta trasera (backdoor) la cual, aparentemente ha operado desde 2018. Informes indican que habría sido utilizada en algunas actividades delictivas en 2020 y 2021, así como en campañas más recientes. Se cree que la finalidad de estas campañas es la recopilación de información sensible.

Investigaciones informan que la razón por la cual no se había reportado este backdoor previamente es porque ha sido usada de manera altamente selectiva, apareciendo en no más de un puñado de redes y un pequeño número de máquinas. Cabe mencionar que los atacantes de estas campañas también tienen acceso a una versión actualizada del rootkit ZXShell.

Entre las funcionalidades de este backdoor, se pueden encontrar la instalación de sí mismo, como servicio, registro de teclas o “keylogging”, diversos métodos de conexión con servidores C2 y la habilidad de escuchar comandos en un puerto local.

Cadena de ataque

Si bien el vector de infección inicial no está del todo claro, campañas anteriores sugieren que el grupo usaría email de phishing, para las campañas más recientes, se cree, el vector de infección inicial seria divido en dos tipos de víctimas.

El primer tipo de víctima sería el sector gobiernos, donde se pueden observar indicios de SSH de fuerza bruta. Mientras que, para el segundo tipo de víctima, la ruta de archivo (Csidl_program_filesloadbalanceribmedgelbserversbin) indicaría explotación de vulnerabilidades de servidores de cara al público, con la finalidad de ganar acceso no autorizado.

Una vez establecida la presencia en el sistema de la víctima, proceden a la inyección del backdoor “MerDoor” por medio de la carga lateral DDL en “perfhost.exe” o “svchost.exe”, siendo estos procesos legítimos de Windows que ayudan al malware en la evasión de sistemas de detección.

Posterior a la inyección se observa actividad en SMB mediante la utilización de la función “Atexc” de Impacket para la ejecución de tareas programadas y el backdoor se conecta a su servidor C2. Seguido de ejecución de comandos como mavinject.exe y createdump.exe, el cual puede utilizarse para volcar procesos LSASS.

Finalmente, Lancefly cifra los archivos robados haciendo uso de un archivo WinRAR enmascarado (wmiprvse.ese) para posteriormente filtrar la información, muy probablemente haciendo uso de MerDoor.

Rootkit ZXShell

Se ha observado que Lancefly ha hecho uso de la versión actualizada del rootkit que fuera descubierto en el 2014 y que sigue en un desarrollo activo. Debido a que el código fuente de este rootkit es de dominio público, este puede ser utilizado por una gran cantidad de grupos distintos. Esta nueva versión parece ser de un tamaño más pequeño, a su vez que también muestra funciones adicionales que son dirigidas a software de antivirus adicional para su desactivación.

El cargador del rootkit, “FormDll.dll”, exporta funciones que pueden ser utilizadas para dejar cargas útiles o payloads, que coincidan con la arquitectura del sistema del host. Así como otras funciones que permitan leer y ejecutar Shellcode desde un archivo, matar procesos, entre otros. Se observo que el rootkit hace uso de una utilidad de instalación y actualización que compartiría código con el cargador de MerDoor, lo que indicaría que Lancefly hace uso de una base de código compartida, en sus herramientas.

Para la evasión y la resistencia en un sistema, ZXShell hace uso de una funcionalidad de instalación que admite la creación, secuestro y lanzamiento de servicios, la modificación del registro y la compresión de una copia de su propio ejecutable.

Posible vinculación a grupos chinos

El rooktik ZXShell implementado por Lancefly esta firmado por el certificado “Wemade Entertainmente Co. Ltd” el cual ha sido reportado previamente por ser asociado con APT41. Lo que conectaría a Lancefly con otros grupos APT, en su mayoría chinos. Esta conexión, sin embargo, es débil, pues como se mencionó previamente en esta nota, el código fuente del rootkit ha estado a disposición publica desde hace varios años. Existe, por otra parte, un elemento que respaldaría la hipótesis de China, como lugar de origen de Lancefly, este sería el uso de troyanos de acceso remoto (RAT) como PlugX y ShadowPad, pues estos han sido vistos ser utilizados por varios grupos APT chinos.

Indicadores de Compromiso de MerDoor