Un atacante novato llamado Poisson robó credenciales bancarias y correos de una empresa francesa usando un keylogger y herramientas legítimas. A pesar de que su servidor de control fue desactivado, mantuvo el acceso instalando OpenSSH y Tailscale para crear una puerta trasera independiente. El caso demuestra que eliminar el servidor de mando no es suficiente si el atacante ha establecido otros métodos de persistencia en la red.



Un atacante de habla francesa irrumpió en una pequeña empresa automotriz francesa, instaló un keylogger y robó credenciales bancarias y de correo electrónico.

Cosas comunes, hasta que llegó un movimiento cerca del final.

Antes de que su servidor de comando y control (C2) dejara de funcionar, instaló OpenSSH y Tailscale en la máquina de la víctima, construyendo una vía de regreso que no dependía en absoluto del C2. Cuando el servidor Havoc se desconectó al día siguiente, su acceso no se perdió. Dieciocho días después, el C2 volvió, sus agentes se reconectaron por sí solos y él continuó.

Cato Networks capturó toda la operación comando por comando, 339 de ellos durante 33 días, después de que el operador dejara sus claves SSH y un manual paso a paso en un bucket de almacenamiento abierto. El informe, publicado el martes por el investigador de Cato CTRL Vitaly Simonovich, ofrece una visión poco común de una intrusión desde el teclado del operador en lugar de los restos forenses.

La lección de los investigadores es contundente: desconectar un servidor C2 no es una remediación si el atacante ya ha construido una puerta separada.

El actor, con el alias "Poisson", no es un APT. Los investigadores describen a un operador novato que parece seguir un horario escolar, activo después de las 15:00 CET con un largo descanso al mediodía, todo funcionando con herramientas de capa gratuita: DuckDNS, Backblaze B2 y un VPS económico de IONOS en Berlín. Su técnica era deficiente.

Filtró su directorio personal cinco veces, nombró sus buckets de almacenamiento con su propio alias y dejó un archivo de prueba con sus propias pulsaciones de teclas repetidamente dentro del paquete del keylogger. Falló en aproximadamente la mitad de lo que intentó. Aun así, comprometió cuatro máquinas.

The chain

El malware se ejecutó casi totalmente en memoria. Un stager de VBScript con un retraso para evadir el sandbox descifró un cargador de PowerShell, que a su vez descargó un cargador .NET que ejecutaba el agente Demon de Havoc sin dejar el implante en el disco. Para elevar privilegios, utilizó Start-Process -Verb RunAs, que no es un bypass silencioso de UAC; hace que aparezca el aviso de consentimiento de Windows y espera a que alguien haga clic en Sí. En una víctima, le llevó una docena de intentos durante dos días.

Después vino la consolidación: una tarea programada que se ejecutaba en cada inicio de sesión con los privilegios más altos, shellcode inyectado en Explorer.exe y un RustDesk personalizado como canal de respaldo. El capturador de credenciales era un keylogger de Python de 70 líneas que escribía las pulsaciones en un archivo local, sin beacon ni servidor de exfiltración. Poisson simplemente iniciaba sesión, recogía el archivo a mano y ejecutaba powercfg para evitar que las máquinas entraran en modo suspensión, para que la recolección nunca se detuviera.

The move that matters

El 7 de abril, en una sesión nocturna de cinco horas, instaló OpenSSH Server y Tailscale, unió la máquina de la víctima a su red privada de Tailscale y configuró SSH basado en claves y un túnel inverso. Ahora podía llegar a la máquina a través de la malla cifrada de Tailscale sin C2 y sin puertos expuestos.

Al día siguiente, la infraestructura de Havoc quedó fuera de línea. Cato no dice por qué, y apenas importa: la ruta de Tailscale estaba en una red separada, por lo que el acceso sobrevivió.

Cuando el C2 regresó el 26 de abril, los agentes se reconectaron automáticamente, sin necesidad de volver a comprometer el sistema. Durante los últimos cinco días, ejecutó 145 comandos más, sondeó almacenes de certificados y tarjetas inteligentes (señal de que buscaba inicios de sesión basados en certificados), ejecutó dos ejecutables no explicados desde un archivo llamado Thales.zip durante unos 32 minutos en total, y luego borró 17 archivos y quedó en silencio el 1 de mayo.

Lo que buscaba era muy específico. Nada de Mimikatz, ni movimiento lateral, ni ransomware, y no hay indicios de que se llevara los documentos que revisó, desde registros fiscales hasta seguros. Solo lo que la gente escribe: accesos bancarios, contraseñas de correo electrónico y portales gubernamentales. Para el dueño de una pequeña empresa, eso es una exposición financiera directa.

Ninguna de las herramientas es nueva, y ese es el punto. Otros grupos han utilizado Tailscale para tunelizar silenciosamente desde firmas informáticas rusas, o se han apoyado en herramientas legítimas de acceso remoto como Ngrok, Fleetdeck y RustDesk.

Los binarios están firmados y son legítimos, por lo que la detección que se detiene en "archivos maliciosos" y no en "comportamientos maliciosos" los pasa por alto. Lo que Poisson añade es la prueba a nivel de comandos de que el truco sobrevive a una caída del servidor, ejecutado por alguien que claramente aún está aprendiendo.

What to watch

La lista de búsqueda de Cato es concreta:

* Alerta cuando se instale OpenSSH Server en una estación de trabajo Windows, lo cual rara vez es legítimo.
* Vigila tailscale.exe en máquinas que no tengan razón para ejecutar una VPN.
* Busca túneles inversos ssh -R dirigidos a hosts externos.
* Comprueba si wscript.exe ejecuta archivos .vbs desde carpetas temporales de usuario.
* Marca las tareas programadas con los privilegios más altos que lancen intérpretes de scripts.
* Vigila los cambios de tiempo de espera de powercfg que mantienen las máquinas despiertas.
* Bloquea DuckDNS.

El punto más importante: cuando encuentres un C2, asume que no es la única vía de entrada y busca la capa de persistencia silenciosa que hay detrás.

Qué había en Thales.zip y qué hicieron esos dos programas en sus 32 minutos en la máquina es la pregunta que Cato deja abierta. La respuesta que más importa: el C2 nunca fue la intrusión, sino solo una forma de entrar en ella. Si lo eliminas pero dejas OpenSSH, Tailscale, la tarea programada y el keylogger funcionando, el atacante seguirá teniendo una forma de volver a entrar.

Esa es la parte que la remediación sigue olvidando.

Fuente:
THN