Investigadores de amenazas han descubierto un servidor de comando y control activo que aloja una implementación completa del marco BYOB tras el hallazgo de un directorio abierto expuesto. El servidor, ubicado en la dirección IP 38[.]255[.]43[.]60 en el puerto 8081, distribuía cargas maliciosas diseñadas para establecer acceso remoto persistente en sistemas Windows, Linux y macOS. 

Investigadores de amenazas han descubierto un servidor de comando y control en activo que aloja una implementación completa del framework BYOB tras el hallazgo de un directorio abierto expuesto.

El servidor, ubicado en la dirección IP 38[.]255[.]43[.]60 en el puerto 8081, distribuía cargas maliciosas diseñadas para establecer acceso remoto persistente en sistemas Windows, Linux y macOS.

Alojado por Hyonix en Estados Unidos, la infraestructura contenía una colección completa de droppers, stagers y módulos de post-explotación que permiten a los atacantes mantener el control sobre máquinas comprometidas.

Este framework representa riesgos significativos, ya que opera mediante una cadena de infección en múltiples etapas que evita la detección de manera inteligente mientras despliega capacidades peligrosas de vigilancia y control.

El directorio expuesto reveló la arquitectura completa del kit de herramientas de post-explotación BYOB, que utiliza un proceso de infección en tres etapas.

La primera etapa comienza con un dropper de solo 359 bytes que implementa múltiples capas de ofuscación mediante codificación Base64, compresión Zlib y deserialización Marshal para eludir sistemas de detección basados en firmas.

Este dropper descarga la segunda etapa, un stager de 2 KB que realiza comprobaciones anti-máquina virtual escaneando variables de entorno en busca de indicadores de VirtualBox y examinando procesos en ejecución para detectar software de virtualización como VMware, Hyper-V y XenServer.

Una vez considerado seguro el entorno, el stager recupera la carga final, un troyano de acceso remoto (RAT) de 123 KB que establece comunicaciones HTTP cifradas con el servidor de comando y carga módulos adicionales de vigilancia bajo demanda.

Analistas de Hunt.io identificaron la infraestructura expuesta durante operaciones proactivas de caza de amenazas utilizando sus herramientas AttackCapture. El descubrimiento ocurrió cuando sus sistemas detectaron el patrón característico de directorio abierto en el servidor de comando y control activo.

El análisis de las muestras capturadas reveló que el framework había estado operativo desde al menos marzo de 2024, representando una campaña sostenida de aproximadamente diez meses.

La infraestructura muestra una diversificación geográfica deliberada, con nodos distribuidos en Singapur, Panamá y múltiples ubicaciones en Estados Unidos, lo que sugiere una planificación organizada y asignación de recursos por parte de los actores de amenazas detrás del despliegue.

El framework BYOB demuestra capacidades multiplataforma preocupantes que lo hacen particularmente peligroso en entornos informáticos diversos.

Implementa siete mecanismos diferentes de persistencia adaptados a cada sistema operativo, asegurando que el malware sobreviva a reinicios y intentos de limpieza.

En sistemas Windows, crea claves de registro disfrazadas como “Java-Update-Manager”, coloca archivos de acceso directo URL en la carpeta de inicio, establece tareas programadas que se ejecutan cada hora y despliega suscripciones de Windows Management Instrumentation (WMI) para ejecución desencadenada por eventos.

Los sistemas Linux se ven comprometidos mediante entradas maliciosas en crontab, mientras que los dispositivos macOS se infectan utilizando archivos LaunchAgent que se ejecutan automáticamente durante el inicio de sesión del usuario.

Estos métodos redundantes de persistencia complican significativamente los esfuerzos de eliminación y aumentan la probabilidad de que al menos un mecanismo permanezca sin ser detectado.

Capacidades de Vigilancia Post-Explotación

Más allá de establecer acceso, la carga útil de BYOB ofrece extensas capacidades de vigilancia mediante componentes modulares que pueden cargarse según los objetivos del atacante.

El módulo de keylogger implementa enganches de teclado específicos para cada plataforma, utilizando pyHook para Windows y pyxhook para sistemas basados en Unix, capturando cada pulsación junto con el nombre de la ventana activa para proporcionar contexto sobre qué aplicación estaba en uso cuando se ingresó información sensible como contraseñas o números de tarjetas de crédito.

El módulo de sniffer de paquetes utiliza sockets crudos para interceptar el tráfico de red en la capa IP, analizando encabezados para extraer direcciones de origen y destino, información de protocolo y datos de carga útil que podrían revelar credenciales transmitidas en texto claro o comunicaciones internas de la red.

El módulo de recolección de correos de Outlook representa una de las capacidades más preocupantes, ya que aprovecha la automatización COM de Windows para acceder a Microsoft Outlook de manera programática sin requerir autenticación.

Al conectarse a la sesión de Outlook ya autenticada, el malware puede buscar en el contenido de la bandeja de entrada, extraer correos que contengan palabras clave específicas y enumerar el número total de mensajes antes de realizar operaciones de extracción completas.

Esta capacidad es particularmente peligrosa en entornos corporativos donde se comparten rutinariamente comunicaciones críticas para el negocio, información financiera y documentos internos a través del correo electrónico.

El framework también incluye funciones de manipulación de procesos que permiten a los atacantes terminar software de seguridad, enumerar aplicaciones en ejecución y bloquear automáticamente herramientas de protección como el Administrador de Tareas para que no se inicien.

El análisis de la infraestructura reveló detalles adicionales preocupantes sobre el alcance y la estrategia de monetización de la campaña.

Dos de los cinco nodos de comando y control identificados alojaban software de minería de criptomonedas XMRig junto al framework BYOB, lo que indica una infraestructura de doble propósito que genera ingresos pasivos mediante cryptojacking mientras mantiene capacidades de acceso remoto.

Esta combinación de despliegue de herramientas de acceso remoto y minería de criptomonedas sugiere que los actores de amenazas tienen motivaciones financieras y buscan múltiples fuentes de ingresos a partir de sistemas comprometidos.

El puerto RDP expuesto en el servidor principal, activo desde diciembre de 2023, junto con la configuración inusual de múltiples servidores web ejecutándose en diferentes puertos, indica claramente una infraestructura de ataque dedicada en lugar de operaciones comerciales legítimas.