Se ha detectado una nueva cadena de ataque vinculada al grupo de amenazas UAC-0184. Esta campaña utiliza la herramienta bitsadmin de Windows y archivos HTA para infiltrar cargas maliciosas en los sistemas. El ataque está dirigido principalmente a Ucrania, enfocándose específicamente en objetivos relacionados con el ámbito militar y personas vinculadas a las Fuerzas de Defensa Ucranianas.

Se ha observado una cadena de ataque recientemente documentada y vinculada al grupo de amenazas UAC-0184 que utiliza la herramienta integrada de Windows bitsadmin y archivos HTA para introducir cargas útiles maliciosas en los sistemas objetivo.

La campaña está dirigida principalmente a Ucrania, con indicadores claros que apuntan a objetivos relacionados con el ámbito militar, incluyendo personas vinculadas a las Fuerzas de Defensa ucranianas.

El nivel de elaboración y paciencia mostrados en cada etapa de esta cadena de infección la distinguen de otras campañas más ruidosas y menos disciplinadas que han surgido recientemente.

Los atacantes utilizan señuelos de ingeniería social basados en temas como procesos judiciales, vídeos de combate y solicitudes de contacto personal para engañar a las víctimas y que estas abran archivos maliciosos.

Una vez que la víctima abre el documento trampa, ya sea que aparezca como un PDF, un archivo de Word o una hoja de cálculo de Excel, bitsadmin descarga silenciosamente un archivo HTA desde un servidor remoto controlado por el atacante en segundo plano.

Posteriormente, ese archivo HTA se ejecuta mediante mshta.exe, impulsando la infección sin activar alarmas inmediatas en la máquina comprometida.

Analistas de Synaptic Security señalaron en un informe que el mecanismo de entrega parece estar filtrado, lo que significa que la carga útil solo se sirve a los sistemas que superan ciertos criterios de filtrado, lo que probablemente ayuda a descartar entornos de sandboxes y de investigadores de seguridad.

Este tipo de entrega condicional hace que el malware sea significativamente más difícil de estudiar y permite que los atacantes permanezcan activos sin atraer atención no deseada durante periodos prolongados.

El archivo HTA, una vez ejecutado, corre un comando de PowerShell oculto que descarga un archivo ZIP llamado dctrprraclus.zip desde el servidor controlado por el atacante en la dirección IP 169.40.135.35.

Cadena de Malware UAC-0184

El archivo se descomprime en una carpeta dentro del directorio AppData y lanza dos archivos simultáneamente: una aplicación de visualizador de música llamada Cluster-Overlay64.exe junto con un PDF señuelo llamado Scan_001.pdf.

El PDF se muestra a la víctima como una distracción mientras la infección real continúa silenciosa y sin ser detectada en segundo plano en su máquina.

El conjunto de herramientas más amplio que despliega UAC-0184 revela una sofisticación operativa considerable. La etapa final de la cadena de infección implica que los componentes de red de PassMark BurnInTest sean reutilizados como un canal encubierto de comando y control, escuchando en el puerto UDP 31339 para el tráfico de descubrimiento de pares multicast.

Este abuso de un conjunto de software legítimo firmado por Microsoft le otorga al atacante una identidad encubierta convincente dentro de un árbol de procesos confiable.

El uso de bitsadmin para descargar archivos no es nuevo, pero combinarlo con la ejecución de archivos HTA es una técnica deliberada que ayuda al atacante a mimetizarse con la actividad normal de fondo de Windows.

Bitsadmin es una herramienta nativa de línea de comandos de Windows creada originalmente para transferencias de archivos en segundo plano, y su abuso por parte de actores de amenazas a menudo pasa desapercibido tanto para los usuarios cotidianos como para muchos productos de seguridad de endpoints.

Una vez que el archivo HTA se ejecuta, deposita un paquete en capas que contiene Cluster-Overlay64.exe, openvr_api.dll, filter.bin y kernel-diag.lib dentro de la carpeta ApplicationData32. El código malicioso real no se encuentra dentro del ejecutable principal.

En su lugar, está enterrado dentro de archivos DLL y bloques locales codificados, que se descifran en tiempo de ejecución a través de un proceso de múltiples etapas que combina operaciones XOR con descompresión LZNT1.

La carga útil final se carga posteriormente mediante side-loading en VSLauncher.exe, un binario de Visual Studio legítimo firmado por Microsoft que la envuelve en una identidad digital confiable.

Software Firmado Reutilizado como Identidad Encubierta

Uno de los aspectos más sorprendentes de esta campaña es la agresividad con la que el actor de amenazas se apoya en software legítimo y firmado para ocultar el comportamiento malicioso ante los defensores.

PassMark Endpoint, una utilidad comercial genuina de prueba de red, se convierte en el componente final orientado a la red, aportando capacidades que incluyen el volcado de memoria de procesos mediante MiniDumpWriteDump y la transferencia de datos entre pares a través del puerto TCP 31339.

Se aconseja a los defensores monitorizar el uso conjunto de bitsadmin y mshta.exe, especialmente cuando se combinan con patrones de nombres de archivos temporales sospechosos como ~tmp(…).hta.

Los equipos de red deben vigilar el tráfico UDP hacia 224.0.0.255 en el puerto 31339, que es la dirección de descubrimiento multicast de PassMark que esta campaña reutiliza para su propia comunicación.

La presencia de VSLauncher.exe ejecutándose fuera de una ruta de instalación legítima de Visual Studio, o cualquier evento inesperado de creación de archivos dentro de %APPDATA%\ApplicationData32, debe considerarse como una señal de advertencia grave que justifica una investigación inmediata por parte de los equipos de seguridad.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido deliberadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el enlace automático. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.