_{Fig. 8 - Verificación de antivirus}

Verificación de VM y BIOS

_{Fig. 9 - Verificación de VM y BIOS}

Verificación del sistema operativo y del idioma del OS

_{Fig. 10 - Verificación del sistema operativo y del idioma del OS}

_{Fig. 11 - Verificación del sistema operativo y del idioma del OS (continuación)}

Si se cumplen todos los criterios anteriores, crea una carpeta en la red HOMEDRIVE y descarga el ejecutable AutoIt y un script codificado en la carpeta, y crea un acceso directo para esa carpeta en el inicio:

_{Fig. 12 - Ejecutable AutoIt}

La imagen anterior muestra tres URLs que, al ser navegadas, colocan archivos en una ubicación de red del sistema:

Hxxps://45[.]40.96.231\/AutoIt3 – AutoIt script
Hxxps://45[.]40.96.231\/AutoIt3.exe – AutoIt executable
Hxxps://45[.]40.96.231\/jama1crt – Some dependency file which is responsible for malicious activity

A partir de aquí, crea un acceso directo que se ejecuta al inicio:

_{Fig. 13 - Acceso directo ejecutado al inicio}

Script codificado y decodificado de AutoIt y análisis:

_{Fig. 14 - Encabezado codificado de AutoIt (ver esquina superior izquierda)}

Script decodificado

El script decodificado es extenso con muchas verificaciones, realizando principalmente inyección de procesos en memoria. Una parte del script decodificado muestra la inyección en un archivo PE que comienza con el encabezado 0x4D5A para archivo ejecutable, seguido por una conversión BinaryToString del código hexadecimal responsable de cargar DLL en la memoria e invocar su función exportada:

_{Fig. 15 - Script decodificado}

Al ejecutar el archivo codificado de AutoIt y autoit.exe junto con el archivo de dependencia jama1crt mencionado anteriormente, se genera un archivo de volcado de memoria. Al analizar estáticamente el archivo de volcado de memoria, encontramos que nuevamente contenía un archivo de AutoIt incrustado:

_{Fig. 16 - Archivo de volcado de memoria contiene AutoIt}

Este script codificado realiza el resto de la inyección en memoria utilizando procesos como ALLOCATEEXESPACE, UNMAPVIEWSECTION, ALLOCATEEXESPACEATADDRESS e inyecta código malicioso en uno de los procesos legítimos de Microsoft, mobsync.exe:

_{Fig. 17 - Inyección de código malicioso en mobsync}

_{Fig. 18 - Inyección de código malicioso en mobsync (continuación)}

Algunos comportamientos importantes realizados por el malware que vale la pena destacar: 1) Verifica el idioma y la ubicación del sistema 2) Agrega información del procesador al registro para detectar entornos de sandbox 3) Verifica la información del sistema

Después de la ejecución y la inyección maliciosa en mobsync.exe, se conecta a C2 maliciosos proporcionando información importante como Nombre de Computadora, Información del Sistema, Usuario y detalles del administrador, y otros datos importantes.

Conclusión:

El malware se distribuye a través de URLs geofecladas incrustadas en el correo electrónico con el principal objetivo de robar las credenciales del sistema de la víctima mediante la infección del sistema con inyección de procesos usando el script y las herramientas de AutoIt. Las URLs funcionan principalmente en las regiones de América del Norte y del Sur con la intención de robar información bancaria y actuar como troyanos bancarios o infostealers.

Una vez que se navega desde el correo electrónico, la URL descarga un archivo comprimido que contiene un archivo .HTA. El archivo HTA luego se conecta a una URL maliciosa y realiza una serie de actividades, incluyendo la navegación de JS codificado a través del navegador. Posteriormente, resulta en la descarga del script de AutoIt, ejecutable y carga útil de dependencia.

Cuando todos se ejecutan juntos, realizan inyección de procesos en memoria del sistema. Siendo evasivo por naturaleza, el archivo ejecuta comprobaciones del idioma del sistema, ubicación y otras variables de entorno. Después de una ejecución exitosa, se conecta a C2 maliciosos proporcionando información sensible a los atacantes.

Información Adicional:

Mientras se trabajaba en la campaña, se observó que además de seguir el patrón mencionado anteriormente, también robaba información activamente mediante técnicas de phishing y descargando directamente ejecutables en archivos comprimidos.

Declaración de Protección

Los clientes de Forcepoint están protegidos contra esta amenaza en las siguientes etapas del ataque:

Etapa 2 (Engaño): Entregado a través de URL armadas incrustadas en un correo electrónico. Los correos electrónicos y URLs incrustadas son bloqueados por análisis de correos electrónicos, análisis web y Análisis de Seguridad en Tiempo Real.
Etapa 3 (Redirección): Las redirecciones identificadas para descargar múltiples cargas útiles son clasificadas y bloqueadas bajo clasificación de seguridad.
Etapa 5 (Archivo Dropper): Los archivos dropper son añadidos a la base de datos de archivos maliciosos de Forcepoint y bloqueados.
Etapa 6 (Contacto): Los servidores de comando y control (C&C) a los que el malware contacta para entregar datos sensibles de usuarios están categorizados y bloqueados bajo clasificación de seguridad.

Indicadores de Compromiso:

Patrón de URL inicial	https:\/\/\d{2,3}\.\d{2,3}\.\d{2,3}\.\d{2,3}\.host\.secureserver\.net
Archivos HTA	37768083ff57e77850667394e0d27e8717e3eb35 c76eff517bd7c5e6d1f8ede73e9d260195e42c42 354b48288f2cc0eeefef2011e5ab38a7cb20fbf7 70ebed2ed13a350e59faa5c254ee099e2653c61e d3402ca43a7ebf6f2b944bf83e62261312761c53
Archivo VBS	8ae1dfa8e9544c0b9a6079aa18708f5fe5a82ee5 4114fb23a7211f0721f87947e8b5b5258f5ed47a 8655717e2a3ced90d352a7faf2586a73cefea7d8
JScript Ofuscado	e156707c3ee3c40ca64f66447c5e36de3ae90eba
Script AutoIt	c1e2c1fddec0ed9676ed8ce38dbaf2006b50a31e
URLs	hxxp://45.40.96[.]231/AutoIt3 hxxp://45.40.96[.]231/AutoIt3.exe hxxp://45.40.96[.]231/jama1crt hxxps://www.rekemchiwdnas.com\/jm1 hxxps:// 198.148.167[.]72.host.secureserver.net/OQQst11/gV7Pus771.js hxxps://198.148.167[.]72.host.secureserver.net/ VFb51.vbs
Servidores C2	www.rekemchiwdnas[.]com jpmorgan-fisrt.homelinux[.]com

Forcepoint DLP

Popular Content

Financial Services Blogs & Insights

Peligros Invisibles Ocultos Detrás de URLs Evasivas de Secureserver.net

Prashant Kumar