Puntos Claves
- Nueva campaña maliciosa: Se ha identificado una nueva operación de malware denominada OBSCURE#BAT, diseñada para distribuir el rootkit R77, el cual permite ocultar procesos, archivos y claves de registro en sistemas comprometidos.
- Técnicas avanzadas de evasión: OBSCURE#BAT implementa tácticas de persistencia y escalamiento de privilegios, ocultando su presencia en el sistema y dificultando su detección por soluciones de seguridad tradicionales.
- Vulnerabilidades explotadas: Este malware aprovecha fallos específicos en sistemas Windows para obtener acceso privilegiado y desplegar el rootkit R77 sin levantar sospechas.
- Impacto en la seguridad: El rootkit R77 permite a los atacantes mantener un acceso persistente en sistemas comprometidos, lo que facilita la exfiltración de datos, el movimiento lateral y la ejecución de cargas útiles adicionales sin ser detectado.
Resumen Ejecutivo
La campaña OBSCURE#BAT ha sido recientemente identificada como una amenaza avanzada que distribuye el rootkit R77, una herramienta diseñada para ocultar procesos maliciosos y mantener acceso persistente en sistemas comprometidos. Este malware emplea técnicas sofisticadas de evasión, permitiendo que los atacantes operen sin ser detectados por herramientas de seguridad tradicionales.
OBSCURE#BAT explota vulnerabilidades en sistemas Windows para desplegar el rootkit, lo que le permite a los atacantes obtener privilegios elevados y realizar actividades maliciosas sin dejar rastros visibles.
El impacto de esta amenaza es significativo, ya que facilita el acceso persistente a sistemas comprometidos, permitiendo la ejecución de cargas maliciosas adicionales, el robo de información y el movimiento lateral dentro de redes corporativas. Para mitigar los riesgos asociados, se recomienda la aplicación inmediata de parches de seguridad, la implementación de monitoreo avanzado de actividad sospechosa y el uso de herramientas especializadas para la detección de rootkits.
El malware OBSCURE#BAT diseñado para distribuir el rootkit R77
OBSCURE#BAT es una nueva campaña de malware que tiene como objetivo la distribución e instalación del rootkit R77, una amenaza avanzada diseñada para proporcionar acceso persistente y encubierto en sistemas Windows. Este malware es particularmente peligroso por su capacidad para evadir mecanismos de detección y garantizar el control del sistema sin ser detectado por los usuarios o administradores.
Métodos de Distribución
OBSCURE#BAT se propaga a través de varias técnicas, incluyendo:
- Archivos BAT maliciosos: Scripts en Batch (.bat) que ejecutan comandos de PowerShell para descargar e instalar el rootkit de manera sigilosa.
- Correos electrónicos de phishing: Archivos adjuntos o enlaces maliciosos que conducen a la instalación del malware.
- Exploit Kits y Descargas Drive-by: Aprovechamiento de vulnerabilidades en navegadores y software desactualizado para distribuir la carga maliciosa.
- Movilidad lateral en redes internas: Propagación a través de credenciales comprometidas o vulnerabilidades en protocolos como SMB.
Proceso de Infección y Persistencia
- Ejecución Inicial: La campaña maliciosa comienza cuando un usuario ejecuta un archivo BAT ofuscado, como parte de un engaño para iniciar el proceso de infección. Este archivo utiliza PowerShell para descargar cargas adicionales desde servidores remotos controlados por los atacantes, permitiendo la propagación del malware. Además, se desactivan medidas de seguridad cruciales, como UAC (Control de Cuentas de Usuario) y Windows Defender, lo que permite a los atacantes moverse libremente dentro del sistema.
- Establecimiento de Persistencia: Una vez que el malware se ha ejecutado, se asegura de mantenerse activo incluso tras reinicios del sistema. Para esto, crea tareas programadas que se ejecutan automáticamente y modifica las claves del registro de Windows, asegurando que las acciones maliciosas se mantengan en el sistema. Además, se infiltra en procesos legítimos del sistema, como el proceso winlogon.exe, lo que dificulta su detección por los programas de seguridad.
- Instalación del Rootkit R77: El malware procede a instalar el rootkit R77, el cual se ejecuta con privilegios elevados. Este rootkit es capaz de ocultar archivos, procesos y conexiones de red del sistema, evitando así que sean detectados por herramientas de seguridad. También tiene la capacidad de interceptar las llamadas del sistema mediante la manipulación de funciones del kernel, lo que lo convierte en una amenaza aún más difícil de eliminar.
- Evasión y Ocultamiento: Para asegurar que no sea detectado durante los análisis de seguridad, el malware emplea una serie de técnicas de evasión, tales como la ofuscación del código y el cifrado de las cadenas de texto dentro del malware. Utiliza también parches en la interfaz de análisis antimalware (AMSI) para eludir la detección de software antivirus. Gracias a estas estrategias, el malware permanece oculto y operativo en el sistema sin ser identificado por las herramientas de seguridad.
Funciones del Rootkit R77
- Ocultación avanzada: Procesos maliciosos invisibles en el Administrador de Tareas y archivos ocultos en el Explorador de Windows.
- Modificación del Registro: Creación de claves ocultas y desactivación de herramientas de seguridad.
- Evasión de antivirus: Intercepción de solicitudes de análisis para evitar detección.
- Movilidad lateral y exfiltración de datos: Robo de credenciales y comunicación encubierta con servidores externos.
Infraestructura y Distribución
Los atacantes utilizan servidores comprometidos y técnicas de anonimización para evitar su rastreo. Se ha observado el uso de:
- Dominios de reciente creación con certificados TLS legítimos.
- Servicios de proxy inverso y direcciones IP dinámicas para ocultar la ubicación real.
- Redes Tor y VPN para dificultar la atribución del ataque.
El malware también se distribuye mediante:
- Adjuntos en correos electrónicos disfrazados de documentos legítimos.
- Descargas desde sitios web comprometidos y malvertising.
- Uso de loaders como GHOSTLOADER para ejecutar el rootkit de manera sigilosa.
Posibles Actores de Amenaza
El análisis de los métodos y técnicas sugiere la participación de grupos de amenazas avanzados (APT) con diferentes motivaciones:
- Operadores de ransomware-as-a-service (RaaS) que monetizan accesos a sistemas comprometidos.
- Ciberdelincuentes especializados en el robo y venta de credenciales en la dark web.
- Actores con posibles vínculos con estados-nación, dada la sofisticación del rootkit R77.
Impacto en la Seguridad
OBSCURE#BAT y el rootkit R77 representan una amenaza significativa debido a su persistencia y capacidades de ocultación, con riesgos como:
- Robo de información sensible: Acceso a credenciales y datos corporativos.
- Acceso prolongado para espionaje y ataques adicionales.
- Dificultad en la detección y remediación, requiriendo análisis forense especializado.
La detección y eliminación de esta amenaza requiere herramientas avanzadas y estrategias de monitoreo continuo para evitar reinfecciones.
Vulnerabilidades Explotadas
La campaña OBSCURE#BAT aprovecha múltiples vulnerabilidades en sistemas Windows para obtener acceso, escalar privilegios, ejecutar código remoto y evadir detección. A continuación, se detallan las principales vulnerabilidades utilizadas por este malware:
- Escalada de privilegios
- CVE-2021-36934 (HiveNightmare/SeriousSAM): Esta vulnerabilidad en Windows permite que usuarios sin privilegios accedan a archivos sensibles del sistema, incluyendo el SAM (Security Account Manager), SYSTEM y SECURITY. Con estos archivos, los atacantes pueden extraer credenciales y obtener acceso administrativo. OBSCURE#BAT la explota para robar credenciales y garantizar persistencia con privilegios elevados.
- CVE-2022-21882 (Win32k Privilege Escalation): Una falla en el controlador sys que permite que un atacante escale privilegios de usuario estándar a administrador. Esta vulnerabilidad es aprovechada por OBSCURE#BAT para ejecutar procesos con permisos elevados sin necesidad de autenticación adicional.
- Ejecución remota de código (RCE)
- CVE-2021-34527 (PrintNightmare): Un fallo crítico en el servicio de impresión de Windows que permite la ejecución remota de código. Al explotar esta vulnerabilidad, OBSCURE#BAT puede instalar su carga útil en sistemas vulnerables sin interacción del usuario, especialmente en entornos donde el servicio de impresión no ha sido deshabilitado o reforzado.
- CVE-2023-23397 (Outlook Elevation of Privilege): Una vulnerabilidad en Microsoft Outlook que permite la ejecución de código sin que el usuario interactúe con el correo electrónico. OBSCURE#BAT la utiliza en campañas de phishing para ejecutar scripts maliciosos automáticamente al recibir un correo malicioso, sin necesidad de que la víctima abra un adjunto o haga clic en un enlace.
- Bypass de soluciones de seguridad y mecanismos de detección
- CVE-2022-26925 (Windows LSA Spoofing): Esta vulnerabilidad permite eludir la autenticación de red y suplantar credenciales en entornos Active Directory. OBSCURE#BAT la usa para moverse lateralmente en la red y comprometer otras máquinas dentro de la misma infraestructura.
- CVE-2021-42278 y CVE-2021-42287 (Kerberos Privilege Escalation):
Estas dos vulnerabilidades en Kerberos permiten a un atacante crear tickets de autenticación falsos y obtener privilegios de administrador de dominio. OBSCURE#BAT las explota para mantener persistencia en redes corporativas y escalar privilegios en servidores.
- Persistencia y evasión de mecanismos de seguridad
- CVE-2022-41040 y CVE-2022-41082 (ProxyNotShell en Microsoft Exchange):
Estas vulnerabilidades en Microsoft Exchange permiten a los atacantes ejecutar comandos de manera remota mediante solicitudes maliciosas al servidor. OBSCURE#BAT las utiliza para infiltrarse en redes empresariales y desplegar su payload sin ser detectado por herramientas de seguridad perimetral. - CVE-2023-28252 (Windows CLFS Privilege Escalation):
Un exploit que permite modificar registros internos del sistema de archivos y ganar persistencia a nivel de kernel. OBSCURE#BAT lo usa para inyectar su rootkit R77, ocultando su presencia de los sistemas de monitoreo.
Tácticas y Técnicas de MITRE ATT&CK – OBSCURE#BAT & R77
Inicial Access (TA0001) – Acceso Inicial
| Título de la Técnica | Identificación | Uso |
| Spearphishing Attachment | T1566.001 | Se envían correos electrónicos con archivos maliciosos (.BAT, .LNK, .VBS) o documentos de Microsoft Office con macros que ejecutan el malware. |
| Valid Accounts: Domain Accounts | T1078.002 | Aprovecha credenciales robadas mediante CVE-2021-36934 (HiveNightmare) para acceder a sistemas dentro de la red. |
| Drive-by Compromise | T1189 | Distribuye el malware a través de sitios web comprometidos, ejecutando scripts maliciosos cuando el usuario accede a la página. |
Execution (TA0002) – Ejecución del Malware
| Título de la Técnica | Identificación | Uso |
| Command and Scripting Interpreter: Windows Command Shell | T1059.003 | Usa cmd.exe y PowerShell para descargar, ejecutar comandos maliciosos y desplegar el rootkit R77. |
| User Execution: Malicious File | T1204.002 | Requiere que el usuario ejecute un archivo malicioso descargado de un correo o página web infectada. |
Persistence (TA0003) – Persistencia en el Sistema
| Título de la Técnica | Identificación | Uso |
| Boot or Logon Autostart Execution: Registry Run Keys | T1547.001 | Modifica claves de registro en HKCU\Software\Microsoft\Windows\CurrentVersion\Run para ejecutarse al inicio. |
| DLL Side-Loading | T1574.002 | Carga bibliotecas maliciosas en procesos legítimos de Windows, evitando detección por antivirus. |
Defense Evasion (TA0005) – Evasión de Seguridad
| Título de la Técnica | Identificación | Uso |
| Rootkit | T1014 | R77 se inyecta en el kernel de Windows, ocultando procesos, archivos y claves de registro del sistema. |
| Masquerading: Match Legitimate Name or Location | T1036.005 | Renombra archivos maliciosos con nombres de procesos legítimos de Windows como explorer.exe o svchost.exe. |
| Indicator Removal: File Deletion | T1070.004 | Borra archivos ejecutables después de su instalación para evitar detección por análisis forenses. |
Credential Access (TA0006) – Robo de Credenciales
| Título de la Técnica | Identificación | Uso |
| OS Credential Dumping: LSASS Memory | T1003.001 | Extrae credenciales almacenadas en la memoria del proceso lsass.exe usando herramientas como Mimikatz. |
| Credentials from Web Browsers | T1555.003 | Roba credenciales almacenadas en navegadores como Google Chrome, Edge y Firefox. |
Discovery (TA0007) – Reconocimiento del Sistema
| Título de la Técnica | Identificación | Uso |
| System Information Discovery | T1082 | Obtiene información sobre la versión del sistema operativo y hardware disponible en la máquina comprometida. |
| System Network Configuration Discovery | T1016 | Analiza la configuración de red para identificar otros dispositivos y servidores en el entorno. |
Lateral Movement (TA0008) – Movimiento Lateral
| Título de la Técnica | Identificación | Uso |
| Remote Desktop Protocol (RDP) | T1021.002 | Usa credenciales robadas para conectarse a otros sistemas a través de RDP. |
| Lateral Tool Transfer | T1570 | Copia herramientas como PsExec y WMIC en otros dispositivos para ejecutar comandos de forma remota. |
Impact (TA0040) – Impacto Final
| Título de la Técnica | Identificación | Uso |
| Inhibit System Recovery | T1490 | Deshabilita los puntos de restauración de Windows para impedir la recuperación del sistema. |
| Data Encrypted for Impact | T1486 | En algunas variantes, cifra archivos en el disco, funcionando como un ransomware para extorsionar a la víctima. |
Información Adicional
Sitio Web del Rootkit R77 y Disponibilidad Open Source:
El R77 Rootkit es una herramienta escrita en C que se presenta como un proyecto open source, diseñada para ocultar diversos elementos dentro de un sistema Windows. Este rootkit permite a los atacantes esconder archivos, directorios, procesos, y otros componentes críticos del sistema, facilitando el acceso no autorizado y la permanencia en el sistema sin ser detectados.
Las funcionalidades principales de R77 incluyen:
- Ocultación de ficheros y directorios: Permite que los atacantes oculten archivos y carpetas, impidiendo su detección por parte de herramientas de seguridad y administración del sistema.
- Evasión de procesos y uso del CPU/GPU: La capacidad de ocultar procesos y la carga en el CPU/GPU hace que el rootkit pase desapercibido incluso en sistemas con monitoreo de recursos.
- Manipulación de llaves de registro: Permite modificar el registro de Windows, lo que facilita la persistencia del malware.
- Esquiva de servicios: Los atacantes pueden manipular los servicios del sistema para ocultar su actividad.
- Redirección de conexiones TCP y UDP: El rootkit es capaz de interceptar y redirigir el tráfico de red, lo que le permite exfiltrar datos sin ser detectado.
El proyecto R77 tiene un sitio web oficial donde los usuarios pueden obtener más detalles sobre su funcionamiento, configuración y uso. El sitio guía a los usuarios a través del proceso de instalación y utilización del rootkit, proporcionando documentación detallada y ejemplos.
Se puede acceder al sitio web del rootkit R77 en el siguiente enlace:
hxxps[:]//bytecode77[.]com/r77-rootkit
OBSCURE#BAT utiliza CAPTCHA Falsas para Desplegar Malware y Evadir Detección
El malware OBSCURE#BAT emplea páginas CAPTCHA falsas para engañar a los usuarios y hacerles descargar archivos maliciosos. A través de esta táctica, el malware implementa el rootkit r77, que permite a los atacantes tomar el control del sistema afectado. Esta técnica aprovecha métodos avanzados de evasión, como la modificación del sistema y la obfuscación, dificultando la detección y eliminación del malware. Además, el malware se dirige principalmente a usuarios en países como EE. UU., Reino Unido, Canadá y Alemania, lo que amplifica su impacto.
Se han identificado al menos dos formas principales en que los usuarios ejecutan los scripts maliciosos: la primera es mediante la conocida estrategia ClickFix, que redirige a las víctimas a una página CAPTCHA falsa de Cloudflare. La segunda utiliza la publicidad del malware, que se disfraza como herramientas legítimas como el navegador Tor, software VoIP y clientes de mensajería, lo que engaña a los usuarios para que descarguen el malware sin sospechar.
Conclusión
La campaña OBSCURE#BAT ha demostrado ser un vector significativo de distribución para el rootkit R77, una herramienta maliciosa capaz de ocultar ficheros, procesos y conexiones de red en sistemas Windows, eludiendo mecanismos de detección tradicionales. Esta campaña, al ser dirigida por actores maliciosos, representa una amenaza creciente, ya que no solo distribuye un rootkit poderoso, sino que lo hace de manera sigilosa, aprovechando técnicas de evasión avanzadas para evitar la detección por software antivirus y sistemas de monitoreo.
La propagación del R77 Rootkit a través de esta campaña resalta la importancia de fortalecer las capacidades de detección y respuesta ante incidentes, ya que, una vez infectado un sistema, los atacantes pueden mantener su persistencia sin ser detectados por largos periodos. Los sistemas comprometidos se ven vulnerables a la exfiltración de datos, control remoto no autorizado y manipulación de servicios críticos, lo que podría tener un impacto devastador tanto para usuarios individuales como para organizaciones a gran escala.
Recomendaciones de Mitigación
- Monitoreo de Rootkits: Implementar herramientas especializadas como GMER y RootkitRevealer para detectar rootkits y comportamientos anómalos. Estas herramientas pueden identificar actividades encubiertas y mejorar la detección de amenazas.
- Refuerzo de la Seguridad de la Red: Utilizar firewalls avanzados y sistemas IDS como Snort y Wireshark para monitorear y bloquear el tráfico sospechoso asociado con el rootkit. Estas soluciones ayudan a identificar intrusiones en tiempo real.
- Parcheo Proactivo: Mantener sistemas operativos, aplicaciones y herramientas de seguridad siempre actualizados. Los parches oportunos reducen las vulnerabilidades que los atacantes pueden aprovechar para distribuir el rootkit.
- Filtrado de Correos y Archivos Adjuntos: Implementar filtros de seguridad para escanear correos electrónicos y archivos adjuntos antes de llegar a los sistemas, ya que este tipo de malware suele distribuirse a través de enlaces de phishing y archivos maliciosos.
- Segmentación de Redes: Asegurar que las redes estén segmentadas adecuadamente y los accesos controlados estrictamente. Esto limita la propagación del rootkit dentro de la infraestructura y evita el movimiento lateral de los atacantes.
- Concientización de Usuarios: Entrenar a los empleados para reconocer correos electrónicos de phishing, enlaces maliciosos y otros vectores de ataque. La educación sobre estos riesgos reduce las probabilidades de infección.
- Análisis Forense Post-Incidente: Si un sistema se ve comprometido, realizar un análisis forense para determinar el alcance del ataque, eliminar el rootkit y restaurar los sistemas a su estado limpio, asegurando que no quede ninguna puerta trasera.
- Soluciones de Seguridad de Endpoint: Implementar herramientas de protección de endpoints avanzadas que utilicen análisis de comportamiento y detección de anomalías para identificar posibles actividades maliciosas asociadas al rootkit.
- Evaluar la eficacia de las estrategias de detección con el uso de Breach and Attack Simulation (BAS): Estos ejercicios permiten medir la visibilidad de los comandos ejecutados y la generación de alertas ante diferentes TTPs, proporcionando así una evaluación objetiva del monitoreo y la respuesta ante actividades maliciosas.
