Se ha atribuido al subgrupo de un grupo de estado-nación iraní conocido como Nemesis Kitten que está detrás de un malware personalizado previamente no documentado denominado Drokbk que usa GitHub como un resolutor de punto muerto para filtrar datos de una computadora infectada o para recibir comandos.
«El uso de GitHub como punto muerto virtual ayuda a que el malware se mezcle», dijo Rafe Pilling, investigador principal de Secureworks . «Todo el tráfico a GitHub está encriptado, lo que significa que las tecnologías defensivas no pueden ver lo que se pasa de un lado a otro. Y debido a que GitHub es un servicio legítimo, plantea menos preguntas».
Las actividades maliciosas del actor patrocinado por el gobierno iraní pasaron desapercibidas a principios de febrero de 2022, cuando se observó que explotaba las fallas de Log4Shell en servidores VMware Horizon sin parches para implementar ransomware.
Nemesis Kitten es rastreado por la comunidad de seguridad cibernética más grande bajo varios nombres como TunnelVision, Cobalt Mirage y UNC2448. También es un subclúster del grupo Phosphorus, con Microsoft dándole la designación DEV-0270 .
Se dice además que comparte superposiciones tácticas con otro colectivo adversario denominado Cobalt Illusion (también conocido como APT42 ), un subgrupo de Phosphorus que «tiene la tarea de realizar operaciones de vigilancia y recopilación de información contra personas y organizaciones de interés estratégico para el gobierno iraní».
Investigaciones posteriores sobre las operaciones del adversario han descubierto dos conjuntos de intrusión distintos: el Grupo A, que emplea BitLocker y DiskCryptor para realizar ataques de ransomware oportunistas para obtener ganancias financieras, y el Grupo B, que lleva a cabo robos dirigidos para recopilar inteligencia.
Desde entonces, Microsoft, Google Mandiant y Secureworks han descubierto pruebas que rastrean los orígenes de Cobalt Mirage hasta dos empresas fachada iraníes, Najee Technology y Afkar System, que, según el Departamento del Tesoro de EE. UU., están afiliadas al Cuerpo de la Guardia Revolucionaria Islámica (IRGC).
Drokbk, el malware recientemente identificado, está asociado con el Clúster B y está escrito en .NET. Implementado después de la explotación como una forma de establecer la persistencia, consta de un cuentagotas y una carga útil que se usa para ejecutar los comandos recibidos de un servidor remoto.
“Los primeros signos de su uso en la naturaleza aparecieron en una intrusión en febrero de 2022 en una red del gobierno local de EE. UU.”, dijo la compañía de ciberseguridad en un informe compartido con The Hacker News.
Este ataque implicó el compromiso de un servidor VMware Horizon utilizando las vulnerabilidades Log4j ( CVE-2021-44228 y CVE-2021-45046 ), lo que finalmente condujo a la entrega del binario Drokbk por medio de un archivo ZIP comprimido alojado en un servicio de transferencia de archivos. .
Como medida de evasión de detección, Drokbk emplea una técnica llamada resolución de caída muerta para determinar su servidor de comando y control (C2). La táctica encubierta se refiere al uso de un servicio web externo legítimo existente para alojar información que apunta a una infraestructura C2 adicional.
En la cadena de ataques observada por Secureworks, esto se logra aprovechando un repositorio de GitHub controlado por actores que contiene la información del servidor C2 dentro del archivo README.md .
«Drokbk proporciona a los actores de amenazas acceso remoto arbitrario y un punto de apoyo adicional junto con herramientas de tunelización como Fast Reverse Proxy (FRP) y Ngrok», dijo Pilling.
Fuente y redacción: thehackernews.com
