Informe global de inteligencia sobre amenazas

Las amenazas internas son las que BlackBerry identifica y contra las que se protege dentro de su propia base de clientes. Las amenazas externas (tratadas en la siguiente sección) son aquellas de las que informan terceras partes, como las publicaciones de noticias del sector, los proveedores de seguridad o los organismos gubernamentales.

Tipo: Infostealer

Objetivos: Telecomunicaciones, sanidad

Regiones: América Latina (LATAM), América del Norte

Vidar es un infostealer que existe desde 2018. Vidar, probablemente el vástago del otrora famoso infostealer Arkei, se ha mantenido extremadamente activo y a menudo se vende a través de malware como servicio (MaaS) en foros clandestinos. El malware es muy flexible y puede introducirse en el dispositivo de la víctima de diversas formas, como a través de documentos de phishing, malvertising (publicidad que propaga malware) y mediante distribución secundaria a través de otro malware. A principios de 2024, observamos que Vidar también se utilizaba para atacar infraestructuras críticas. Durante este periodo, observamos que Vidar atacaba principalmente los sectores de las telecomunicaciones y la sanidad, especialmente en los países de Latinoamérica, y también se observó que atacaba la sanidad en Norteamérica.

Tipo: Descargador

Objetivos: Alimentación y agricultura, sanidad

Regiones: LATAM, Norteamérica

SmokeLoader, en funcionamiento desde 2011, es un importante mecanismo de entrega de cargas útiles maliciosas de segunda fase, entre las que se incluyen diversos troyanos, infostealers e incluso ransomware. SmokeLoader, que se vende como MaaS, también puede recopilar credenciales de usuario. Es popular entre una serie de grupos de amenazas de alto perfil debido a su capacidad para desplegar malware adicional. En mayo de 2024, Europol coordinó la operación Endgame contra los descargadores maliciosos. Más de 100 servidores de malware fueron desmantelados o inutilizados y más de 2.000 dominios fueron incautados por las fuerzas de seguridad. Aunque estas acciones paralizaron gravemente las operaciones de los grupos de amenazas que estaban detrás de SmokeLoader, este trimestre se siguieron observando binarios relacionados con el malware en el sector sanitario norteamericano y en la industria agroalimentaria de LATAM.

Tipo: Infostealer

Objetivos: Telecomunicaciones, agricultura y alimentación, sanidad

Regiones: LATAM, Norteamérica

RisePro es un infostealer multifuncional que a menudo se vende como MaaS en foros clandestinos. RisePro se observó inicialmente a finales de 2022. Después, a finales de 2023 y principios de 2024, BlackBerry observó un fuerte aumento de la actividad de RisePro.

El infostealer RisePro puede introducirse en el dispositivo de la víctima de diversas formas, a menudo a través de enlaces maliciosos o adjuntos de correo electrónico. También se ha desplegado a través de PrivateLoader, un malware de pago por instalación (PPI) utilizado a menudo como servicio de distribución de malware.

Una vez en el dispositivo de la víctima, RisePro se comunica con su servidor de mando y control (C2), donde recibe órdenes para robar datos, soltar malware adicional y extraer información del dispositivo. Este trimestre, se observó que RisePro se dirigía a empresas de alimentación, agricultura y telecomunicaciones en países de Latinoamérica y a servicios sanitarios en Norteamérica.

Tipo: Descargador

Objetivos: Educación, transporte, sanidad, alimentación y agricultura

Regiones: APAC, Norteamérica

GuLoader (también conocido como CloudEyE) es un destacado descargador que distribuye otros programas maliciosos. Desde 2020, el grupo de amenazas que está detrás de GuLoader ha añadido técnicas antianálisis para dificultar que los servicios de seguridad identifiquen sus ataques o ideen contramedidas. GuLoader suele funcionar en tándem con otros programas maliciosos, en concreto infostealers como FormBook, Agent Tesla y Remcos.

Durante este ciclo de informes, GuLoader parecía dirigirse principalmente a organizaciones norteamericanas de los sectores del transporte, la alimentación y la agricultura, y la educación. Sin embargo, también se encontraron binarios de GuLoader en empresas de transporte de países de APAC.

Tipo: Infostealer

Objetivos: Alimentación y agricultura, energía, finanzas

Regiones: APAC, LATAM, Norteamérica

Lumma Stealer (también conocido como LummaC2) es un infostealer basado en C que, por segundo periodo consecutivo, ha atacado a empresas de alimentación y agricultura en LATAM y al sector energético en APAC. Lumma Stealer es un MaaS especializado en filtrar datos confidenciales como credenciales de acceso y datos bancarios para cometer fraudes bancarios. Además, Lumma Stealer se dirigió a empresas de servicios financieros tanto en Norteamérica como en APAC.

Las amenazas internas son las que BlackBerry identifica y contra las que se protege dentro de su propia base de clientes. Las amenazas externas (tratadas en la siguiente sección) son aquellas de las que informan terceras partes, como las publicaciones de noticias del sector, los proveedores de seguridad o los organismos gubernamentales.

Tipo: Bot/Infosteador

Objetivos: Industria manufacturera, servicios comerciales, bienes de equipo

Regiones: Europa, Oriente Medio y África (EMEA), APAC, LATAM

Amadey, que apareció por primera vez en 2018, es un malware modular que sigue activo en el panorama de las amenazas. A través de cambios iterativos, se ha mantenido relevante con los recientes avances en sus comunicaciones. Amadey puede recopilar inteligencia y sondear las máquinas víctimas antes de filtrar datos a su C2. A menudo se utiliza como red de bots para propagar otro malware en masa y con frecuencia facilita el despliegue de infostealers y criptomineros maliciosos.

Durante este periodo, Amadey se centró en los servicios de fabricación y comerciales en las regiones de EMEA, APAC y LATAM, así como en los servicios de bienes de equipo específicamente en los países de LATAM.

Tipo: Descargador

Objetivos: Industria, servicios comerciales

Regiones: APAC, LATAM, Norteamérica

PrivateLoader es un facilitador de malware muy extendido que funciona como un servicio de pago por instalación para la distribución de malware. Distribuido a menudo a través de sitios web falsos que alojan software "crackeado", PrivateLoader puede descargar una variedad de cargas útiles maliciosas, incluyendo una amplia gama de infostealers como RisePro. PrivateLoader utiliza una técnica conocida como envenenamiento SEO para aumentar la prominencia de sus sitios web falsos. Esta técnica engaña a los usuarios haciéndoles creer que los primeros resultados de búsqueda son los más creíbles y resulta muy eficaz cuando la gente no se fija bien en los resultados de búsqueda. Durante este periodo, PrivateLoader se centró en el sector manufacturero de Norteamérica y en los servicios comerciales de Latinoamérica y Asia-Pacífico.

Tipo: Troyano de acceso remoto

Objetivos: Industria manufacturera, comercio minorista de alimentación, servicios comerciales

Regiones: APAC, LATAM, Norteamérica

Agent Tesla es un importante troyano de acceso remoto (RAT) especializado en el robo de información que lleva atacando activamente a usuarios con sistemas basados en el sistema operativo Microsoft Windows desde 2014. Este malware comercial, que se vende a través de foros clandestinos y se promociona como una oferta MaaS, es conocido por robar datos y credenciales confidenciales, grabar pulsaciones de teclas y realizar capturas de pantalla de las víctimas. A menudo se utiliza en campañas de phishing y se aloja o distribuye como software crackeado troyanizado.

En este ciclo, el Agente Tesla se ha centrado en varios sectores, como la industria manufacturera, la venta minorista de alimentos y los servicios comerciales en países de APAC, LATAM y Norteamérica.

Tipo: Infostealer

Objetivos: Comercio minorista de alimentación

Regiones: APAC

FormBook y su evolución, XLoader, son sofisticadas familias de malware que operan tanto como complejos ladrones de información como versátiles descargadores de malware adicional. Desde su creación, estas familias de malware han sido resistentes y han evolucionado constantemente para evadir y eludir las ciberdefensas mediante técnicas anti-VM, inyección de procesos y rutinas de cifrado personalizadas.

XLoader, que a menudo se vende como MaaS, puede robar datos de navegadores, clientes de correo electrónico y otras aplicaciones. Este trimestre, varios ciberincidentes relacionados con XLoader afectaron a minoristas de alimentación en países de APAC.

Tipo: Descargador

Objetivos: Servicios comerciales, venta al por menor de alimentos, industria manufacturera

Regiones: APAC, EMEA, Norteamérica

GuLoader, también conocido como CloudEyE, es un destacado downloader utilizado en numerosos ataques como mecanismo de entrega de otro malware. Activo en desde 2020, ha sufrido cambios iterativos, volviéndose más sofisticado e integrando técnicas antianálisis adicionales. GuLoader trabaja habitualmente con otro malware, concretamente con infostealers como FormBook, Agent Tesla y Remcos.

Este trimestre, GuLoader se ha dirigido a la industria manufacturera en Norteamérica, a los minoristas de alimentación en APAC y a los servicios comerciales tanto en EMEA como en APAC.

Tipo: Infostealer

Objetivos: Servicios comerciales, bienes de equipo

Regiones: APAC

RisePro es un infostealer multifuncional que a menudo se vende como MaaS en foros clandestinos. RisePro se observó inicialmente a finales de 2022. Después, a finales de 2023 y principios de 2024, BlackBerry observó un fuerte aumento de la actividad de RisePro. RisePro puede introducirse en el dispositivo de la víctima de diversas formas, a menudo a través de enlaces maliciosos o adjuntos de correo electrónico. También se ha desplegado a través de PrivateLoader, un malware PPI utilizado frecuentemente como servicio de distribución de malware. Una vez en el dispositivo, RisePro se comunica con su servidor C2, donde recibe órdenes para robar datos, instalar más malware o extraer información del dispositivo de la víctima.

Tipo: Infostealer

Objetivos: Industria manufacturera, comercio minorista de alimentación, servicios comerciales, bienes de equipo

Regiones: APAC, EMEA, LATAM

Vidar es un infostealer que existe desde 2018 y puede ser el vástago del infostealer conocido como Arkei. Vidar ha sido extremadamente activo y a menudo se vende como MaaS a través de foros clandestinos. El malware es altamente flexible y puede caer en un dispositivo víctima de varias maneras, como a través de documentos de phishing, malvertising (publicidad que propaga malware) y por distribución secundaria a través de otro malware. Durante este periodo, Vidar se dirigió a una serie de sectores empresariales comerciales, como la industria manufacturera en EMEA, el comercio minorista de alimentación en APAC, los bienes de equipo en LATAM y los servicios comerciales tanto en LATAM como en APAC.

Además de los actores de amenazas señalados en nuestras investigaciones y conclusiones internas, otros grupos han lanzado diversos ciberataques este trimestre. Estos grupos suelen emplear una serie de herramientas y programas maliciosos para ejecutar sus actividades ilícitas. A continuación, destacamos algunos de los atacantes más impactantes y las herramientas más notables identificadas por nuestro Equipo de Investigación e Inteligencia de Amenazas este trimestre.

BlackSuit es una operación privada de ransomware que surgió en abril de 2023. Este grupo emplea una estrategia de extorsión multifacética, que implica tanto la exfiltración como el cifrado de los datos de las víctimas. También mantienen sitios de filtración de datos en la web oscura, donde se publican los datos confidenciales robados a las víctimas que no cumplen las normas. BlackSuit se dirige a organizaciones de todos los tamaños y de diversos sectores, como la sanidad, la educación, las tecnologías de la información (TI), la administración pública, el comercio minorista y la industria manufacturera.

Los métodos de ataque de BlackSuit incluyen correos electrónicos de phishing, archivos torrent maliciosos y la explotación de vulnerabilidades en VPN y cortafuegos. El grupo utiliza una combinación de herramientas legítimas y maliciosas como Cobalt Strike, WinRAR, PuTTY, Rclone, Advanced IP Scanner, Mimikatz, PsExec, Rubeus y GMER para el movimiento lateral y el volcado de credenciales. Sus cargas útiles de ransomware están diseñadas para atacar sistemas operativos Windows® y Linux® y, en algunos casos, servidores VMware ESXi.

El Departamento de Salud y Servicios Humanos de EE.UU. ha puesto de relieve las similitudes entre BlackSuit y el ransomware Royal, lo que sugiere que BlackSuit podría tener su origen en el creador de Royal, el conocido grupo Conti. Los mecanismos de cifrado y los parámetros de la línea de comandos utilizados por BlackSuit se parecen mucho a los de Royal, lo que indica que comparten un código base.

Entre los objetivos de este periodo figuran:

• Kadokawa Corporation, un conglomerado japonés de medios de comunicación, donde el grupo se hizo pasar por un componente legítimo del software antivirus Qihoo 360.
• Otros objetivos destacados son la ciudad de Cedar Falls (Iowa), una multinacional estadounidense de software, el Departamento de Policía de Kansas City (Kansas) y la empresa farmacéutica mundial Octapharma Plasma, Inc.

BlackBasta (también conocido como Black Basta) es un operador de ransomware y una empresa criminal de ransomware como servicio (RaaS) que surgió a principios de 2022. Según un informe conjunto de CISA y el FBI, los afiliados de BlackBasta han atacado a más de 500 entidades de la industria privada y de infraestructuras críticas, incluidas organizaciones sanitarias, en Norteamérica, Europa y Australia.

BlackBasta emplea métodos típicos de acceso inicial, incluyendo phishing y explotación de vulnerabilidades conocidas. Después de obtener acceso, los adversarios realizan un reconocimiento para mapear la red objetivo y descargar credenciales utilizando Mimikatz. Con las credenciales obtenidas, los operadores del ransomware escalan privilegios y se mueven lateralmente para comprometer la red. Antes del cifrado, los actores de la amenaza BlackBasta desactivan las defensas, extraen información confidencial y eliminan las instantáneas de volumen para permanecer ocultos hasta el ataque final. El grupo es conocido por emplear tácticas de doble extorsión, cifrando datos críticos y servidores vitales y amenazando con publicar información sensible en su sitio público de filtraciones.

Entre los objetivos de este periodo figuran:

• Un importante proveedor sanitario estadounidense. BlackBasta cifró los datos de los pacientes del proveedor y sus sistemas operativos, comprometiendo la atención al paciente y la privacidad de los datos.
• Keytronic, fabricante estadounidense. Un ciberataque atribuido a BlackBasta interrumpió sus operaciones y restringió el acceso a aplicaciones empresariales esenciales. Además, la empresa sufrió una violación de datos cuando la banda de ransomware filtró los datos robados.

Estos ataques ponen de manifiesto que BlackBasta sigue centrándose en objetivos de alto valor en diversos sectores, empleando sofisticadas tácticas de ransomware para maximizar su potencial de interrupción y extorsión.

LockBit, un grupo de ciberdelincuentes supuestamente vinculado a Rusia, se especializa como proveedor de RaaS a través de su malware homónimo. Los operadores del grupo mantienen y mejoran diligentemente el ransomware, supervisando las negociaciones y orquestando su despliegue una vez que se produce una brecha con éxito. LockBit emplea una doble estrategia de extorsión que no sólo cifra los datos locales para restringir el acceso de la víctima, sino que también exfiltra información sensible, amenazando con la exposición pública de los datos a menos que se pague un rescate.

La operación Cronos, un grupo internacional de ciberdelincuentes, desbarató LockBit en febrero. Sin embargo, el grupo se mantuvo muy activo y fue el más agresivo a la hora de atacar organizaciones de EMEA este trimestre. Entre sus objetivos se encuentran:

• Infraestructuras críticas localizadas. En EMEA, LockBit se ha dirigido en gran medida a las PYME, sobre todo en el Reino Unido, Alemania y Francia. El grupo se centra principalmente en objetivos de infraestructuras críticas a pequeña escala relacionadas con la educación, la sanidad y el sector público.
• Hôpital de Cannes - Simone Veil, en Francia. Un ataque LockBit provocó graves interrupciones operativas, lo que obligó al hospital a desconectar todos los ordenadores y reprogramar los procedimientos y citas que no fueran de emergencia.
• Wichita, la ciudad más grande de Kansas, con una población de 400.000 habitantes. Este importante ataque de ransomware obligó a la ciudad a desconectar sus sistemas informáticos, causando una interrupción generalizada. LockBit publicó en su sitio web una fecha límite para el pago del rescate, lo que aumentó la presión sobre la administración de la ciudad para que accediera a sus demandas.

ShinyHunters es un grupo de amenazas que apareció por primera vez en 2020, y es conocido por varias violaciones de datos en múltiples industrias. Entre sus ataques se incluyen los perpetrados contra la empresa indonesia de comercio electrónico Tokopedia, así como contra GitHub y Pizza Hut Australia. ShinyHunters ha puesto a la venta en foros los datos robados, filtrando ocasionalmente datos de algunas brechas de forma gratuita. Irónicamente, el grupo suele encontrar vulnerabilidades a través de código disponible en repositorios de GitHub. Explora cubos de nube no seguros, abusa de credenciales robadas y aprovecha ataques de phishing para facilitar sus brechas.

Otros supuestos objetivos para este periodo son

• Banco Santander S.A., un banco español que presta servicios a clientes de América Latina, Estados Unidos, Reino Unido y España. ShinyHunters puso a la venta los datos de esta filtración por unos 2 millones de dólares, que afectó a 30 millones de clientes y empleados.
• Una multinacional de venta y distribución de entradas de espectáculos. Sus clientes sufrieron el robo de sus datos a través de una cuenta en Snowflake, una nube de datos de IA utilizada por la empresa. La cuenta carecía de autenticación multifactor, lo que permitió el acceso del grupo de amenazas. ShinyHunters ofreció vender estos datos por 500.000 dólares.

El ransomware Akira se observó por primera vez en marzo de 2023 y rápidamente adquirió notoriedad debido a sus ataques de gran alcance en diversos sectores. Las operaciones del grupo se han caracterizado por una serie de ataques de gran repercusión y una presencia persistente en el panorama del ransomware. Akira es especialmente conocido por utilizar tácticas de doble extorsión, en las que no sólo cifra los datos, sino que también amenaza con filtrar los datos robados si no se paga el rescate. Este enfoque ha demostrado su eficacia a la hora de obligar a las víctimas a satisfacer sus demandas.

Inicialmente centrado en sistemas Windows, Akira ha ampliado desde entonces sus operaciones para incluir una variante Linux. El grupo emplea métodos comunes de acceso inicial, incluyendo campañas de phishing y la explotación de vulnerabilidades conocidas. Akira también utiliza herramientas de acceso público como Mimikatz y LaZagne para el acceso a credenciales, PsExec para la ejecución remota y AnyDesk o Radmin para el acceso remoto.

Akira funciona como RaaS, se desarrolló inicialmente en C++ y utiliza una extensión .akira para los archivos cifrados. También se ha observado una variante basada en Rust, que utiliza la extensión .powerranges. Las actividades más recientes de Akira se han dirigido a los sectores sanitario, financiero, manufacturero y tecnológico. Estos ataques ponen de manifiesto la adaptabilidad del grupo y su continua amenaza para una amplia gama de industrias.

Herramientas como Rclone, Rubeus, GMER, WinSCP y Cobalt Strike son vitales para la gestión de datos, las pruebas de penetración y el mantenimiento de sistemas. Su flexibilidad y accesibilidad también las convierten en herramientas útiles para ser utilizadas indebidamente por los actores de amenazas.

Cobalt Strike sirve como un sofisticado marco de simulación de adversarios meticulosamente diseñado para replicar la presencia persistente de actores de amenazas en entornos de red. Estructurado en torno a dos componentes fundamentales -un agente (Beacon) y un servidor (Team Server)- Cobalt Strike orquesta una interacción sin fisuras. El servidor Cobalt Strike Team Server, que funciona como un servidor C2 a largo plazo alojado en Internet, mantiene una comunicación constante con las cargas útiles Beacon desplegadas en los equipos de las víctimas.

Aunque Cobalt Strike se utiliza principalmente como herramienta para que los encargados de las pruebas de penetración y los equipos rojos evalúen la situación de seguridad de las redes, lamentablemente también ha sido explotado por agentes de amenazas malintencionadas. A pesar de su finalidad prevista, se han producido casos de filtración de su código en línea, lo que ha llevado a una rápida militarización por parte de una amplia gama de adversarios. Esta doble naturaleza pone de relieve la importancia de la vigilancia y de unas medidas de ciberseguridad sólidas para mitigar los riesgos asociados a su uso indebido, salvaguardando las redes de posibles explotaciones.

El Equipo de Investigación e Inteligencia de BlackBerry analizó cinco de las Técnicas MITRE más observadas:

Hijack Execution Flow (T1574) es una sofisticada técnica empleada por los adversarios para interceptar y manipular el flujo de ejecución normal de un sistema, permitiéndoles ejecutar código malicioso en su lugar. Este método resultó ser muy frecuente en el último trimestre, lo que demuestra su popularidad debido a su eficacia para lograr la persistencia y ejecutar acciones no autorizadas.

Existen múltiples vías para aprovechar los métodos de esta técnica, como el secuestro del orden de búsqueda de DLL, la carga lateral de DLL y la inyección de código malicioso en procesos legítimos. Al secuestrar el flujo de ejecución, los atacantes pueden hacerse con el control del sistema sin activar las alertas de seguridad estándar. Esto dificulta que las herramientas de seguridad detecten e impidan futuras actividades del actor de la amenaza. Por ejemplo, colocando una DLL maliciosa en una ubicación que se busque antes que la legítima, el atacante puede asegurarse de que su código se ejecute cuando una aplicación legítima cargue la DLL.

Una ventaja significativa de esta técnica para los adversarios es su capacidad para eludir las medidas de seguridad. Dado que el código malicioso se ejecuta en el contexto de un proceso de confianza, puede eludir los mecanismos de seguridad tradicionales que se basan en el análisis del comportamiento de los procesos. Esta capacidad hace que Hijack Execution Flow sea particularmente peligroso, ya que puede utilizarse para realizar una amplia gama de actividades maliciosas, desde la escalada de privilegios hasta la exfiltración de datos.

Para defenderse de T1574, las organizaciones deben aplicar medidas de seguridad integrales, incluidas listas blancas de aplicaciones, gestión rigurosa de parches y supervisión continua de las actividades del sistema y la red. La actualización periódica del software y la garantía de que solo puedan ejecutarse las aplicaciones autorizadas reducen significativamente el riesgo de secuestro del flujo de ejecución.

La formación para concienciar a los usuarios también desempeña un papel fundamental a la hora de ayudar a los empleados a reconocer las señales de posibles intentos de secuestro del flujo de ejecución, lo que contribuye a reforzar la postura de seguridad. Por último, el empleo de soluciones avanzadas de detección de amenazas que puedan identificar patrones de comportamiento anómalos asociados a esta técnica es crucial para una detección y respuesta oportunas. Algunos ejemplos del uso de T1574 incluyen:

• Secuestro del orden de búsqueda de DLL: Un ejemplo común es la explotación del orden de búsqueda de DLL en Windows. Si un atacante coloca un msvcrt.dll malicioso en el directorio de trabajo de la aplicación, esta puede cargarlo en lugar de la versión legítima del directorio del sistema.
• Carga lateral de DLL: En 2018, el grupo APT OceanLotus utilizó la carga lateral de DLL con el ejecutable legítimo de Microsoft Word para cargar una DLL maliciosa que estableció persistencia y ejecutó más cargas útiles.
• Secuestro COM: Un atacante registra un objeto COM malicioso en una clave de registro específica que una aplicación legítima consulta con frecuencia. Cuando la aplicación llama al objeto COM, se ejecuta el código malicioso en lugar del objeto COM previsto.
• Windows AppInit_DLLs: Al modificar las claves de registro como AppInit_DLLs, un atacante se asegura de que su DLL maliciosa se carga en todos los procesos aplicables, lo que le otorga el control sobre estos procesos.
• Inyección en procesos legítimos: Un caso conocido es esta técnica implica el uso de inyección DLL reflexiva por la herramienta Cobalt Strike, donde la carga útil se inyecta en un proceso legítimo para evadir la detección por parte del software de seguridad.

En la técnica de ejecución automática de arranque o inicio de sesión (T1547), un atacante primero se asegura de que el malware se ejecute automáticamente durante el arranque del sistema o el inicio de sesión del usuario. A continuación, el atacante utiliza mecanismos como claves de registro, carpetas de inicio, tareas programadas o registros de servicios para mantener la persistencia o para obtener privilegios elevados en el sistema comprometido. Estos mecanismos están diseñados para facilitar la funcionalidad legítima del software y las tareas de gestión del sistema en el sistema operativo. Sin embargo, los adversarios pueden abusar de estas funciones para incrustar su código malicioso, ayudándole así a mezclarse con las operaciones normales del sistema. Entender y asegurar estos mecanismos críticos del sistema operativo es esencial para protegerse contra la persistencia no autorizada y la escalada de privilegios.

He aquí un ejemplo de una ubicación de clave de registro utilizada frecuentemente para establecer la persistencia:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run ' - Este es el registro de Windows utilizado para configurar los programas que se ejecutan automáticamente cuando se inicia el sistema operativo.

Un ejemplo de carpeta de inicio utilizada para establecer la persistencia es:

'%APPDATA%%\Microsoft\Windows\Start Menu\Programs\Startup ' - Esta ruta conduce a la carpeta de inicio, donde se colocan los accesos directos a los programas que deben iniciarse automáticamente cuando el usuario inicia sesión.

A continuación se muestra un ejemplo de cómo se puede aprovechar la creación de servicios para la persistencia:

sc create Updater binPath= "C:\Windows\malicious[.]exe" start= auto ' - El comando utiliza la utilidad de servicio para crear un servicio llamado "Updater" que está configurado para iniciarse automáticamente al arrancar el sistema.

Otro ejemplo de establecer persistencia y obtener privilegios elevados es a través del Programador de Tareas de Windows:

schtasks /create /tn "Updater" /tr "C:\Windows\malicious[.]exe" /sc onlogon /ru SYSTEM ' - El comando crea una tarea programada llamada "Updater" que ejecuta el ejecutable malicious.exe en la ubicación especificada cada vez que un usuario inicia sesión, con la tarea específica ejecutándose bajo la cuenta SYSTEM para privilegios elevados.

La técnica de MITRE Impair Defenses (T1562), dentro de la táctica Defense Evasion (TA0005), fue reconocida como una de las cinco técnicas más utilizadas por los adversarios durante el periodo del informe. Esta técnica altera elementos del entorno de la víctima para obstaculizar o inutilizar los mecanismos defensivos. Los agresores no sólo dañan las defensas preventivas como cortafuegos y software antivirus (AV), sino que también interrumpen las capacidades de detección que los defensores utilizan para auditar la actividad e identificar comportamientos maliciosos.

Cuando los actores de amenazas consiguen dañar las defensas de una víctima, obtienen libertad para atacar sin ser detectados. Esto les permite inyectar binarios maliciosos, que pueden utilizarse para explotar otras técnicas de MITRE, como keyloggers, gusanos, troyanos y shells web maliciosos. Todos ellos pueden llevar a la ejecución de ransomware en una máquina.

Es crucial emplear medidas de protección contra la técnica T1562 de MITRE para salvaguardar su sistema de este tipo de ataques. Esta técnica suele utilizarse al principio de un ataque, por lo que es esencial detectarla y contrarrestarla lo antes posible.

A continuación se muestra una lista de líneas de comandos que son útiles para supervisar:

• sc stop <ServiceName>
• sc config <ServiceName> start=disabled
• net stop <ServiceName>
• taskkill /IM <ToolName> /F
• netsh advfirewall set allprofiles state off
• bcdedit.exe /deletevalue {por defecto} safeboot
• bcdedit /set {default} recoveryenabled no

La técnica Application Window Discovery (T1010), dentro de la táctica Discovery (TA0007), fue identificada por los especialistas de BlackBerry como una de las principales técnicas utilizadas por los actores de ciberamenazas en este periodo. Esta técnica consiste en hacer una lista de las aplicaciones de Windows abiertas, lo que proporciona a los ciberdelincuentes información útil sobre los patrones de uso del sistema objetivo. Esta información puede ser muy valiosa para identificar datos específicos que vale la pena recopilar, así como el software de seguridad que los atacantes deben evadir para evitar ser detectados. Los actores de amenazas utilizan esta técnica para comprender mejor el entorno y planificar su ataque de la forma más agresiva posible sin ser detectados.

Para obtener primero la lista de aplicaciones de Windows abiertas, los atacantes suelen explotar funciones integradas en el sistema. Por ejemplo, pueden utilizar comandos del intérprete de comandos y scripts o funciones de la API nativa para recopilar la información necesaria. Estas herramientas y funciones nativas se utilizan a menudo porque es menos probable que causen sospechas y pueden ofrecer información completa sobre el sistema.

Dado que estos comportamientos son sospechosos y pueden proporcionar a un adversario información significativa sobre el sistema de la víctima, es importante disponer de una configuración de software de seguridad capaz de detectar estos comandos o acciones ejecutadas por los adversarios.

A continuación se muestra una lista de líneas de comandos que puede ser útil supervisar:

• gps | where {$_.mainwindowtitle}
• Get-Process | Where-Object MainWindowTitle
• "cscript.exe", "rundll32.exe", "explorer.exe", "wscript.exe", "PowerShell.exe", "pwsh.dll", "winlogon.exe", "cmd.exe" siendo el proceso padre para el uso de estas APIs: "user32.dll!GetWindowTextA", "user32.dll!GetForegroundWindow", "user32.dll!GetActiveWindow", "user32.dll!GetWindowTextW"
• lista de tareas & lista de tareas /v

El marco ATT&CK de MITRE identifica el descubrimiento de software (T1518) como una técnica clave dentro de la táctica de descubrimiento (TA0007). Este método es utilizado con frecuencia por los adversarios para obtener información sobre el entorno de software de los sistemas objetivo, por lo que es un paso crítico en muchos ciberataques. El descubrimiento de software permite a los atacantes identificar vulnerabilidades determinando qué aplicaciones y versiones están instaladas en un sistema. Esta información ayuda a los adversarios a explotar software obsoleto o sin parches, planificar formas de desactivar o eludir las medidas de seguridad y adaptar sus ataques para lograr la máxima eficacia.

Los métodos más comunes para descubrir software incluyen el uso de Windows Management Instrumentation (WMI) con comandos como wmic "product" get name, version, vendor y scripts PowerShell como Get-ItemProperty o Get-WmiObject. Estos métodos permiten a los atacantes recuperar información detallada sobre el software, consultar el registro de Windows e identificar los procesos en ejecución y las aplicaciones asociadas. Las implicaciones de un descubrimiento de software exitoso son significativas. Los atacantes pueden explotar las vulnerabilidades de software identificadas para escalar privilegios o ejecutar código arbitrario. También pueden desactivar o eludir las defensas de seguridad, aumentando la probabilidad de operar sin ser detectados. Además, al comprender el entorno de software, los adversarios pueden desplegar malware dirigido específicamente a las aplicaciones descubiertas, aumentando la eficacia y el sigilo de sus ataques.

Para protegerse contra esta técnica, las organizaciones deben implantar mecanismos sólidos de supervisión y alerta. Es esencial supervisar el uso de comandos y secuencias de comandos comúnmente asociados con el descubrimiento de software. El empleo de sistemas avanzados de detección de amenazas que utilicen análisis de comportamiento puede ayudar a detectar actividades inusuales. Garantizar que todo el software esté actualizado y parcheado, limitar el uso de herramientas administrativas al personal autorizado y mantener registros exhaustivos de la ejecución de comandos también son pasos cruciales.