El malware de estado-nación conocido como Kazuar ha reaparecido con un diseño mucho más peligroso. Lo que comenzó como un backdoor estándar ha evolucionado hacia una botnet peer-to-peer totalmente modular, diseñada específicamente para el espionaje encubierto a largo plazo contra objetivos diplomáticos y gubernamentales de alto valor, operada por el grupo Secret Blizzard.

Un malware de un estado-nación conocido como Kazuar ha resurgido con un diseño mucho más peligroso de lo que nadie esperaba.

Lo que empezó como una puerta trasera relativamente estándar se ha convertido ahora en una botnet peer-to-peer (P2P) totalmente modular, diseñada específicamente para el espionaje encubierto a largo plazo contra objetivos gubernamentales y diplomáticos de alto valor.

El grupo detrás de esto, conocido como Secret Blizzard, ha estado actualizando silenciosamente esta poderosa herramienta durante años, manteniéndose fuera del radar de la mayoría de los equipos de seguridad que operan en todo el mundo.

Kazuar ha sido vinculado a algunos de los objetivos más sensibles del planeta. El malware se ha utilizado activamente para atacar ministerios gubernamentales, embajadas, departamentos de defensa y organizaciones diplomáticas en toda Europa y Asia Central.

Secret Blizzard también es conocido por aprovecharse de sistemas en Ucrania que fueron previamente comprometidos por otro actor de amenazas llamado Aqua Blizzard, una táctica que refleja lo calculado y paciente que es realmente este grupo de amenazas.

Analistas de Microsoft identificaron el malware y compartieron sus hallazgos en un informe técnico detallado, señalando que Kazuar ya no es la herramienta simple que fue en su momento.

Microsoft dijo en un informe que el malware se ha expandido mucho más allá de sus orígenes y ahora opera como un ecosistema estructurado de tres módulos distintos, donde cada uno desempeña un papel específico y claramente definido dentro de una red comprometida.

El mecanismo de entrega en sí ya es una señal clara de lo avanzado que se ha vuelto este malware. Kazuar llega normalmente a través de un dropper llamado Pelmeni, que incrusta un payload de segunda etapa cifrado directamente en su interior.

En algunos casos, ese payload está incluso vinculado al dispositivo específico del objetivo, lo que significa que solo se descifrará y ejecutará en la máquina exacta para la que fue diseñado, haciendo que la detección temprana sea significativamente más difícil para cualquier defensor.

El alcance de lo que Kazuar recopila es profundamente alarmante. Desde pulsaciones de teclas y capturas de pantalla hasta contenido de correos electrónicos, datos del navegador, procesos en ejecución y dispositivos USB; el malware recolecta casi todo sobre un sistema comprometido.

Todos estos datos se cifran, se almacenan localmente y finalmente se envían de vuelta a los atacantes a través de ventanas de comunicación cuidadosamente programadas, diseñadas para mezclarse perfectamente con el tráfico normal de una red empresarial.

Explicación de la Arquitectura Modular de Kazuar

Kazuar está construido alrededor de tres módulos principales: Kernel, Bridge y Worker. Cada uno tiene su propia responsabilidad claramente definida. El módulo Kernel actúa como el centro de mando, gestionando tareas y manteniendo los registros operativos.

El módulo Bridge gestiona toda la comunicación externa, actuando como un relé entre el Kernel y el servidor remoto del atacante.

El módulo Worker realiza el trabajo de recolección real, reuniendo silenciosamente archivos, capturas de pantalla, pulsaciones de teclas e información detallada del sistema directamente desde el entorno del host infectado.

Lo que hace que este diseño sea tan efectivo es el sistema de elección de liderazgo integrado directamente en el módulo Kernel. Entre todas las máquinas infectadas, solo una es elegida como líder en un momento dado, y solo ese líder electo tiene permiso para comunicarse con el mundo exterior.

Esto significa que toda la botnet produce muy poco tráfico de red externo sospechoso. Si el líder se desconecta, se elige automáticamente uno nuevo, manteniendo las operaciones en marcha sin ninguna intervención manual de los propios atacantes.

Operaciones de la Botnet P2P y Tácticas de Sigilo

La estructura peer-to-peer de Kazuar es lo que realmente lo diferencia de la mayoría de los malwares vistos hoy en día. En lugar de que cada máquina infectada se comunique independientemente con un servidor de ataque, Kazuar enruta toda la comunicación a través de un único nodo electo.

Este enfoque reduce drásticamente la huella observable y hace que sea significativamente más difícil para los equipos de seguridad detectar o interrumpir la operación completa antes de que se cause un daño grave.

Kazuar admite más de 150 tipos de configuración, lo que significa que los atacantes pueden cambiar su comportamiento en prácticamente cualquier momento. Puede alternar entre HTTP, WebSocket e incluso comunicación basada en correo electrónico a través de Exchange Web Services.

Se aconseja a los equipos de seguridad monitorear la actividad inusual de pipes con nombre, ventanas ocultas registradas por procesos desconocidos y archivos cifrados que se escriban en directorios de trabajo locales, ya que estas son señales conductuales clave ligadas directamente a los métodos de comunicación interna y almacenamiento de datos de Kazuar.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
SHA-256	69908f05b436bd97baae56296bf9b9e734486516f9bb9938c2b8752e152315d4	hpbprndiLOC.dll – Cargador de Kazuar
SHA-256	c1f278f88275e07cc03bd390fe1cbeedd55933110c6fd16de4187f4c4aaf42b9	Módulo Kernel descifrado
SHA-256	6eb31006ca318a21eb619d008226f08e287f753aec9042269203290462eaa00d	Módulo Bridge descifrado
SHA-256	436cfce71290c2fc2f2c362541db68ced6847c66a73b55487e5e5c73b0636c85	Módulo Worker descifrado

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/microsoft-details-kazuar-malwares-modular-architecture/