Se ha identificado un nuevo framework de malware denominado HACKERAI C2 Agent, el cual utiliza GitHub Gists como un canal oculto para recibir comandos de los atacantes y enviar datos robados. Esta técnica permite que el tráfico malicioso se mezcle con un servicio permitido en muchas redes organizacionales. El malware fue descubierto durante una investigación sobre una campaña de espionaje más amplia dirigida a sectores gubernamentales y de telecomunicaciones.

Un marco de malware recién identificado llamado HACKERAI C2 Agent está utilizando GitHub Gists como un canal oculto para los comandos del atacante y los datos robados.

Esta técnica permite que los operadores mezclen el tráfico malicioso con un servicio que muchas organizaciones permiten en sus redes.

El malware apareció durante una investigación sobre una campaña de espionaje más amplia dirigida a organizaciones de telecomunicaciones, gobierno, defensa, energía e infraestructuras críticas en el sur de Asia.

Las víctimas fueron atraídas con archivos que suplantaban servicios de telecomunicaciones confiables, actualizaciones gubernamentales e instaladores de software.

Investigadores de Acronis identificaron HACKERAI junto con dos familias de malware relacionadas, PATCHCORD y SHEETCORD.

Se evalúa con confianza moderada que esta actividad coincida con APT36, también conocido como Transparent Tribe, o un actor de amenazas estrechamente relacionado vinculado a Pakistán.

Informes anteriores también han documentado el uso por parte del grupo de archivos maliciosos y servicios alojados en la nube en campañas dirigidas a intereses gubernamentales y de defensa regionales.

Acronis señaló en un informe que el HACKERAI destaca porque no depende de un servidor típico controlado por el atacante para su canal de comando y control.

En su lugar, utiliza GitHub Gists, una función legítima diseñada para compartir pequeños fragmentos de texto y código, para recuperar instrucciones y cargar información de los dispositivos infectados.

Este enfoque puede dificultar las investigaciones. Los defensores de la red pueden ver conexiones a GitHub y asumir que son inofensivas, mientras el malware utiliza ese mismo servicio confiable para mantener el contacto con sus operadores.

La campaña también muestra cómo los atacantes están combinando trucos de entrega familiares con nuevos métodos de comunicación.

Malware HACKERAI

El HACKERAI C2 Agent incluye funciones tanto para descargar tareas como para cargar información recopilada a través de GitHub Gists.

En términos prácticos, una máquina infectada puede consultar un Gist para obtener instrucciones, ejecutarlas y enviar los resultados de vuelta a través del mismo servicio.

El malware puede recopilar información básica sobre un sistema comprometido, ejecutar comandos remotamente y establecer persistencia alterando los accesos directos del navegador.

Ese abuso de los accesos directos permite que el malware se inicie antes de que el navegador legítimo se abra, lanzando aun así el navegador real para que tú, como víctima, no notes nada inusual.

Los investigadores también encontraron indicios de que HACKERAI puede haber sido desarrollado con ayuda de herramientas de codificación de IA.

La muestra contenía comentarios al estilo de la IA, mensajes de depuración, código de prueba, una rutina XOR duplicada que utiliza la misma clave 0xAB y un token de acceso personal de GitHub codificado.

El uso de plataformas en la nube legítimas no es nuevo, pero sigue siendo efectivo porque complica las decisiones simples de bloqueo en listas negras.

Un informe relacionado sobre el canal de Google Sheets de SHEETCREEP mostró cómo los actores de amenazas pueden utilizar servicios en línea comunes para ocultar el tráfico de comandos entre la actividad empresarial normal.

El HACKERAI fue descubierto a través de infraestructura histórica vinculada a la operación más grande.

Los investigadores descubrieron que un dominio que suplantaba al Controlador General de Cuentas de Defensa de la India se había utilizado para distribuir el marco antes de que surgiera la campaña más reciente de PATCHCORD.

La campaña se expande por el sur de Asia

La campaña más amplia utilizó instaladores y archivos fraudulentos para dirigirse a proveedores de telecomunicaciones afganos y organizaciones indias.

Un señuelo suplantaba a Afghan Telecom a través de un archivo ZIP llamado TelecomTMS, mientras que otro se hacía pasar por una actualización de brecha de un empleado del Ministerio de Defensa.

PATCHCORD, el implante principal, establece persistencia secuestrando accesos directos de Microsoft Edge, Google Chrome y Mozilla Firefox.

SHEETCORD, una variante basada en Go, expande este enfoque a Brave, Opera y Vivaldi, mientras utiliza Google Sheets en lugar de GitHub Gists para el tráfico de comandos.

Los investigadores también encontraron un servidor de pruebas expuesto que contenía archivos de phishing, herramientas de robo de credenciales, código de explotación y varios marcos de comando y control.

Ese descubrimiento apunta a un operador que prepara múltiples campañas a la vez, en lugar de depender de una sola familia de malware o ruta de entrega.

Para las organizaciones, la preocupación inmediata no son solo los GitHub Gists, sino el comportamiento sospechoso a su alrededor.

Tus equipos de seguridad deberían investigar la actividad inesperada de GitHub desde los endpoints, vigilar los accesos directos del navegador cuyos objetivos hayan sido cambiados y verificar los instaladores de software recibidos por correo electrónico, aplicaciones de mensajería o sitios web desconocidos.

El informe recomienda que las organizaciones en todo el sur de Asia permanezcan alertas ante los intentos de phishing específicos del sector y monitoreen los indicadores enumerados.

El personal debe ser especialmente cauteloso con los archivos ZIP e instaladores que afirman ser clientes de VPN, herramientas de telecomunicaciones, actualizaciones gubernamentales o software de seguridad urgente.

Actividad similar de ingeniería social también se ha visto en las campañas de phishing de defensa de APT36. La infraestructura de la campaña seguía activa al momento de la publicación.

Su combinación de señuelos de phishing, secuestro de accesos directos, patrones de desarrollo asistidos por IA y canales de control basados en la nube resalta un cambio continuo hacia herramientas que son más fáciles de construir y más difíciles de separar del tráfico legítimo de internet.

Fuentes:
https://cybersecuritynews.com/hackerai-malware/