Se ha descubierto una sofisticada campaña de malware de varias etapas, que combina la ingeniería social con un abuso inteligente de servicios legítimos en la nube y herramientas de investigación de Windows. Los investigadores de seguridad de FortiGuard Labs han detallado una cadena de ataque que comienza con un simple "documento comercial" y termina con una carga útil de ransomware destructiva, todo ello sin pasar por las defensas estándar.

La campaña no se destaca por utilizar exploits de día cero, sino por la eficacia de las herramientas "lives off the land", reutilizando plataformas confiables como GitHub y Dropbox para entregar su carga maliciosa. "El ataque comienza con señuelos de ingeniería social entregados a través de documentos con temas empresariales elaborados para parecer rutinarios y benignos".

Estos archivos actúan como un juego de manos. "Estos documentos y los scripts que los acompañan sirven como distracciones visuales, desviando a las víctimas hacia tareas falsas o mensajes de estado mientras la actividad maliciosa se ejecuta silenciosamente en segundo plano". Mientras el usuario se centra en el señuelo, el malware ya se está afianzando.

Una de las características más llamativas de esta campaña es el uso de DefendNot, una herramienta creada originalmente por investigadores de seguridad para demostrar las debilidades de Windows Defender. Los atacantes han convertido esta investigación en un arma. "Una característica definitoria de esta campaña es el abuso operativo de Defendnot, una herramienta de investigación diseñada originalmente para demostrar las debilidades en el modelo de confianza del Centro de seguridad de Windows".

En lugar de aprovechar un error de software, los atacantes utilizan esta herramienta para desmantelar sistemáticamente las defensas del objetivo. "En esta campaña, DefendNot se reutiliza para desactivar Microsoft Defender", cegando efectivamente el punto final antes de que lleguen las cargas más pesadas.

Para evadir la detección de la red, los atacantes ocultan su infraestructura detrás de nombres confiables. "Los actores de amenazas aumentan aún más la resiliencia al separar el alojamiento de la carga útil en múltiples servicios de nube pública".

• GitHub se utiliza para distribuir los scripts que organizan el ataque.
• Dropbox alberga las cargas binarias más pesadas.

Este "enfoque de alojamiento modular" hace que el tráfico parezca una actividad empresarial legítima, lo que complica los esfuerzos por bloquear o cancelar la operación.

Una vez que las defensas están bajas, la campaña cambia de rumbo. Implementa Amnesia RAT para obtener control a largo plazo sobre el sistema. "La implementación de Amnesia RAT permite el reconocimiento a largo plazo, el robo de credenciales y el control interactivo del sistema".

Pero el final es la destrucción. La cadena de ataques culmina con el despliegue de ransomware posterior y componentes de WinLocker, diseñados para imponer la denegación de datos y aplicar una presión psicológica sostenida sobre la víctima.

FortiGuard Labs advierte que esta campaña representa una clase moderna de amenaza que no necesita romper el software para entrar. "Esta cadena de ataque demuestra cómo las campañas de malware modernas pueden comprometer todo el sistema sin explotar las vulnerabilidades del software".

Al abusar de las funciones nativas de Windows y de las herramientas administrativas confiables, los atacantes pueden deshabilitar las defensas antes de implementar herramientas de vigilancia persistentes y cargas útiles destructivas.

Para contrarrestar el abuso de la API del Centro de seguridad de Windows por parte de DefendNot, Microsoft recomienda que los usuarios habiliten la protección contra manipulaciones para evitar cambios no autorizados en la configuración de Defender y monitorear llamadas API sospechosas o cambios en el servicio de Defender.

Se insta a las organizaciones a monitorear los cambios anómalos en la configuración de seguridad y el tráfico inesperado a los servicios de almacenamiento en la nube, ya que la detección temprana de estos comportamientos es fundamental para detener la infección antes de que la recuperación sea imposible.

Fuente: SecurityOnline