PDFSIDER es una variante de malware recientemente identificado que se distribuye mediante la carga lateral de DLL, diseñado para implementar de forma encubierta una puerta trasera con capacidades de Comando y Control (C2) cifradas. El malware utiliza un archivo cryptbase.dll falso para eludir los mecanismos de detección de endpoints.

El malware es una Amenaza Persistente Avanzada (APT), con características como ejecución sigilosa, comprobaciones anti-VM y comunicaciones cifradas. PDFSIDER combina comportamientos tradicionales de ciberespionaje con la funcionalidad moderna de comandos remotos, lo que permite a los operadores recopilar inteligencia del sistema y ejecutar comandos de shell de forma encubierta.

La DLL contiene una biblioteca criptográfica Botan totalmente integrada, configurada para utilizar cifrado autenticado AES-256-GCM, un claro indicador de que los actores de la amenaza emplean protocolos C2 seguros y bien estructurados. Una vez cargado, el malware proporciona a los atacantes un shell de comandos interactivo y oculto, y puede exfiltrar la salida de los comandos a través de su canal cifrado.

El informe técnico de ReSecurity describe los componentes técnicos del malware, el flujo de trabajo de ejecución, los mecanismos de evasión y los indicadores clave para respaldar los esfuerzos de detección y respuesta.

1. Infección inicial y distribución

PDFSIDER comenzó esta campaña mediante correos electrónicos de phishing selectivo que tenía un archivo ZIP adjunto. Este ZIP contiene un archivo EXE legítimo, denominado "PDF24 App". PDF24 Creator es una aplicación de Miron Geek Software GmbH que permite crear archivos PDF desde cualquier aplicación.

La cadena de infección comienza cuando la víctima abre el archivo EXE, que no se muestra al ejecutarse en el equipo.

El archivo EXE tiene una firma legítima y con certificados válidos; sin embargo, el software PDF24 presenta vulnerabilidades que los atacantes pudieron explotar para cargar este malware y eludir eficazmente los sistemas EDR. El malware parece basarse en la carga lateral de DLL, una técnica en la que una DLL maliciosa se coloca junto a una aplicación legítima que la carga automáticamente.

Cuando la víctima ejecuta el programa legítimo, PDF24.exe carga la DLL del atacante en lugar del archivo cryptbase.dll del sistema real, lo que permite la ejecución del código.

2. Ejecución en memoria

PDFSIDER opera principalmente en memoria, minimizando los artefactos de disco. El malware proporciona ejecución remota completa de comandos al iniciarse, realizando varias acciones. Crea canales anónimos y construye una cadena de comandos usando cmd.exe /C [attacker-supplied command].

Este comando se ejecuta con el indicador "CREATE_NO_WINDOW", lo que garantiza que no aparezca ninguna consola visible. El malware extrae toda la información del sistema, crea un ID único y transmite la salida al atacante.

Manejo de datos cifrados C2

El malware utiliza la biblioteca criptográfica Botan 3.0.0 para el cifrado, incorporando varios componentes para comprobar si hay fallos en las etiquetas de cifrado. Los datos también se autentican mediante AEAD en modo GCM, lo que proporciona un alto nivel de seguridad. Este tipo de implementación criptográfica es típica del malware de shell remoto utilizado en ataques dirigidos, donde mantener la integridad y la confidencialidad de las comunicaciones es fundamental.

Tecnología Anti-VM

PDFSIDER cuenta con una rutina de validación de entorno multietapa diseñada para detectar entornos aislados, máquinas virtuales (VM) y laboratorios de análisis. El malware utiliza la función GlobalMemoryStatusEx para evaluar la RAM total del sistema; los sistemas con poca RAM (comúnmente asociados con entornos aislados o virtuales) activan una salida anticipada.

Además, incluye comprobaciones para detectar la presencia de un depurador, lo que garantiza que el malware evite su ejecución en un entorno controlado o monitorizado.

Los actores maliciosos alquilaron un VPS configuraron un servidor C&C que enviaba los datos cifrados al puerto DNS 53 en la ubicación especificada, el cual se utilizó para exfiltrar los datos comprometidos.

PDFSIDER es una puerta trasera robusta y sigilosa, diseñada para acceso encubierto a largo plazo, ejecución flexible de comandos remotos y comunicaciones cifradas, lo que se alinea más con las técnicas de espionaje que con malware con fines financieros.

Señuelo

Los cibercriminales pueden usar diversos señuelos para inducir a las víctimas a abrir documentos maliciosos. En uno de los episodios recientes de la misma campaña, el cibercriminal también utilizó un documento falso diseñado para aparentar ser creado por la Oficina de Inteligencia del EPL del Departamento de Estado Mayor Conjunto de China.

Cabe destacar que la mayoría de los artefactos identificados en la campaña PDFSIDER evaden las soluciones antivirus y de eliminación de datos (EDR) más populares. Actualmente, ReSecurity interpreta PDFSIDER como una técnica empleada en ataques dirigidos, en lugar de una distribución masiva.

Considerando la técnica de carga lateral de DLL, este vector de ataque puede ser explotado eficazmente por actores avanzados para eludir los sistemas antivirus (AV) y de detección y respuesta de endpoints (EDR). Según nuestro equipo de investigación, PDFSIDER ya está siendo utilizado activamente por varios actores de ransomware como método de entrega de carga útil.

Fuente: ReSecyurity