Los investigadores de ciberseguridad han detectado una nueva campaña de malware que infecta los sistemas Windows con una instancia virtual de Linux que contiene una puerta trasera capaz de establecer acceso remoto a los hosts comprometidos.
La «intrigante» campaña, cuyo nombre en código es CRON#TRAP , comienza con un archivo de acceso directo de Windows (LNK) malicioso probablemente distribuido en forma de archivo ZIP a través de un correo electrónico de phishing.
«Lo que hace que la campaña CRON#TRAP sea particularmente preocupante es que la instancia de Linux emulada viene preconfigurada con una puerta trasera que se conecta automáticamente a un servidor de comando y control (C2) controlado por el atacante», dijeron los investigadores de Securonix Den Iuzvyk y Tim Peck en un análisis.
«Esta configuración permite al atacante mantener una presencia sigilosa en la máquina de la víctima, organizando más actividad maliciosa dentro de un entorno oculto, lo que dificulta la detección para las soluciones antivirus tradicionales».
Los mensajes de phishing pretenden ser una «encuesta de OneAmerica» que viene con un gran archivo ZIP de 285 MB que, cuando se abre, desencadena el proceso de infección.
Como parte de la campaña de ataque, aún no identificada, el archivo LNK sirve como conducto para extraer e iniciar un entorno Linux ligero y personalizado emulado a través de Quick Emulator ( QEMU ), una herramienta de virtualización legítima y de código abierto. La máquina virtual se ejecuta en Tiny Core Linux.
Posteriormente, el acceso directo lanza comandos de PowerShell responsables de volver a extraer el archivo ZIP y ejecutar un script «start.bat» oculto, que, a su vez, muestra un mensaje de error falso a la víctima para darle la impresión de que el enlace de la encuesta ya no funciona.
Pero en segundo plano, configura el entorno virtual Linux QEMU denominado PivotBox, que viene precargado con la utilidad de tunelización Chisel, que otorga acceso remoto al host inmediatamente después del inicio de la instancia QEMU.
«El binario parece ser un cliente Chisel preconfigurado diseñado para conectarse a un servidor remoto de Comando y Control (C2) en 18.208.230[.]174 a través de websockets», dijeron los investigadores. «El enfoque de los atacantes transforma efectivamente este cliente Chisel en una puerta trasera completa, lo que permite que el tráfico de comando y control remoto fluya dentro y fuera del entorno Linux».
El desarrollo es una de las muchas tácticas en constante evolución que los actores de amenazas están utilizando para atacar a las organizaciones y ocultar actividades maliciosas; un claro ejemplo es una campaña de phishing que se ha observado dirigida a empresas industriales, de ingeniería y de fabricación electrónica en países europeos para entregar el evasivo malware GuLoader .
«Los correos electrónicos suelen incluir consultas sobre pedidos y contienen un archivo adjunto», dijo la investigadora de seguridad de Cado, Tara Gould . «Los correos electrónicos se envían desde varias direcciones de correo electrónico, incluidas empresas falsas y cuentas comprometidas. Los correos electrónicos suelen secuestrar un hilo de correo electrónico existente o solicitar información sobre un pedido».
La actividad, que se ha dirigido principalmente a países como Rumanía, Polonia, Alemania y Kazajistán, comienza con un archivo por lotes presente en el archivo comprimido. El archivo por lotes incorpora un script de PowerShell ofuscado que posteriormente descarga otro script de PowerShell desde un servidor remoto.
El script secundario de PowerShell incluye funcionalidad para asignar memoria y, en última instancia, ejecutar el shellcode GuLoader para obtener la carga útil de la siguiente etapa.
«El malware Guloader sigue adaptando sus técnicas para evadir la detección y distribuir RAT», afirmó Gould. «Los actores de amenazas atacan continuamente a sectores específicos de determinados países. Su resistencia pone de relieve la necesidad de adoptar medidas de seguridad proactivas».
