EtherRAT ha sido detectado en una intrusión de dominios Windows vinculada a un afiliado de la operación de ransomware Gentlemen. La campaña demuestra cómo un único punto de acceso puede escalar a un problema en toda la red cuando los atacantes obtienen privilegios. Los operadores utilizaron tareas programadas remotas para distribuir paquetes de instalación maliciosos que desplegaron el troyano de acceso remoto EtherRAT en otros sistemas.

EtherRAT ha aparecido en una intrusión de dominio de Windows vinculada a un afiliado de la operación de ransomware Gentlemen. La campaña muestra cómo un único punto de apoyo puede convertirse en un problema para toda la red cuando los atacantes obtienen acceso privilegiado.

Los operadores utilizaron tareas programadas remotas para enviar paquetes de instalación maliciosos a otros sistemas.

Esos instaladores desplegaron EtherRAT, una herramienta de acceso remoto construida sobre Node.js que puede recibir instrucciones, robar accesos y seguir ejecutándose tras el compromiso inicial.

Informes recientes sobre las técnicas de ocultación de blockchain de EtherRAT muestran por qué este diseño puede dificultar el rastreo de su infraestructura.

Analistas de Hunt.io identificaron la actividad tras encontrar un directorio expuesto en un servidor utilizado durante la intrusión.

La colección contenía scripts, configuraciones de tareas, instaladores, herramientas de tunelización y shells inversas, ofreciendo una vista inusualmente detallada del kit de herramientas de un operador activo.

Hunt.io indicó en un informe que la evidencia apunta a un esfuerzo por preservar varias rutas de regreso al entorno de la víctima mientras se recolectaban credenciales y datos de Active Directory.

Esa combinación aumenta el riesgo de una interrupción rápida en los sistemas conectados, particularmente porque una sola cuenta de administrador comprometida puede convertirse en un control total del dominio.

Ataques de ransomware similares dirigidos a dominios de Windows se han basado en la misma ventaja.

Tareas programadas remotas propagan EtherRAT

Los atacantes utilizaron recursos compartidos administrativos, Instrumental de Administración de Windows (WMI) y el registro de tareas remotas para alcanzar hosts internos.

Los scripts copiaron cargas útiles a máquinas remotas y luego crearon tareas con nombres como WinSvcUpdate2 y WindowsUpdSvc para que la actividad pareciera rutinaria.

Este es un recordatorio práctico de que el abuso del programador de tareas de Windows no es solo un truco de persistencia, sino también un método de entrega para el movimiento lateral.

Una tarea se ejecutó bajo la cuenta SYSTEM y descargó un script de PowerShell desde el servidor de almacenamiento.

El script creó una cuenta de administrador local, intentó añadirla a los Administradores del Dominio, desactivó servicios de seguridad, exportó colmenas del registro y configuró un túnel para el acceso remoto.

También preparó herramientas de shell inversa, dando al operador opciones de respaldo si una ruta de acceso fallaba.

Los scripts de despliegue utilizaron certutil.exe, una utilidad legítima de Windows, para recuperar un paquete MSI, y luego invocaron msiexec.exe para instalarlo silenciosamente.

Una ruta alternativa copió el instalador a través de SMB. Esta mezcla de herramientas integradas y acceso administrativo puede parecer un trabajo normal del sistema a menos que tu equipo revise los eventos de creación de tareas, escrituras inusuales en recursos compartidos remotos y procesos inesperados lanzados a través del programador de tareas.

Los archivos recuperados vincularon la actividad al grupo Gentlemen. La atribución es una evaluación, pero las herramientas compartidas, la nomenclatura de los instaladores y la infraestructura proporcionan un contexto sólido para los defensores que investiguen incidentes relacionados.

C2 de Blockchain amplía el acceso

Tras la instalación, EtherRAT descifra un backdoor de JavaScript y establece una entrada en la clave Run para que se lance nuevamente cuando el usuario inicie sesión.

Si Node.js no está disponible, el instalador descarga primero un entorno de ejecución. El malware luego disfraza sus solicitudes web con rutas aleatorias y extensiones de archivo comunes mientras consulta instrucciones.

Su característica más distintiva es dónde encuentra su servidor de comando. En lugar de mantener una única dirección dentro del malware, EtherRAT consulta un contrato inteligente de Ethereum para obtener el dominio actual.

El operador puede cambiar ese destino sin reemplazar el implante, mientras que los investigadores pueden examinar el historial del contrato para reconstruir dominios anteriores. Coberturas previas de instaladores MSI maliciosos de EtherRAT documentaron el creciente enfoque del malware en Windows.

Cualquier respuesta del servidor con más de diez caracteres puede ser tratada como JavaScript y ejecutada por el implante.

Esto le da al operador una forma flexible de ejecutar comandos, acceder a archivos, iniciar procesos, contactar a la red o extraer nuevas cargas útiles sin un conjunto de funciones fijo. El encabezado HTTP personalizado X-Bot-Server es una pista de detección útil para los equipos de seguridad.

Tú y tu equipo de defensa deberían revisar urgentemente las tareas programadas creadas remotamente, especialmente aquellas que se ejecutan como SYSTEM o que llaman a PowerShell, certutil, msiexec, o archivos fuera de las rutas normales de las aplicaciones.

También deberían investigar nuevas cuentas privilegiadas, cambios en los servicios de seguridad, tráfico saliente hacia servicios RPC públicos de Ethereum y conexiones a la infraestructura listada a continuación.

Aislar los hosts afectados, restablecer las credenciales expuestas y comprobar la persistencia en la clave Run puede ayudar a contener una posible propagación antes de que alcance más sistemas.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dirección IP	193.233.202.17	Servidor principal de almacenamiento, C2, Sliver, tunelización y exfiltración de colmenas de registro
Dirección IP	146.103.127.44	Controlador secundario embebido en binarios de shell inversa en Go
Dirección IP	77.110.126.46	Controlador secundario embebido en binarios de shell inversa en Go
Dirección IP	77.110.122.137	Infraestructura de Gentlemen observada en el caso
Dirección IP	77.110.122.58	Servidor de almacenamiento asociado con cons1.0.1.msi
Dirección IP	38.110.228.43	Resolución histórica para wiselystarting.com
Dirección IP	38.110.228.125	Resolución histórica para itemrange.com
Dirección IP	38.110.228.33	Directorio abierto que contiene artefactos de víctimas de Gentlemen
Dirección IP	185.117.72.215	Resolución histórica para resumeacceptable.com
Dirección IP	185.45.193.151	Resolución histórica para publisherresolution.com
Dirección IP	50.114.167.112	Resolución histórica para simultaneouslypower.com
Dominio	itemrange.com	Dominio C2 histórico de EtherRAT desde el contrato de Ethereum
Dominio	wiselystarting.com	Dominio C2 histórico de EtherRAT desde el contrato de Ethereum
Dominio	simultaneouslypower.com	Dominio C2 histórico de EtherRAT desde el contrato de Ethereum
Dominio	resumeacceptable.com	Dominio C2 histórico de EtherRAT desde el contrato de Ethereum
Dominio	publisherresolution.com	Dominio C2 histórico de EtherRAT desde el contrato de Ethereum
URL	hxxp://193.233.202.17:42718/task39.ps1	Ubicación de descarga de la carga útil de PowerShell
URL	hxxp://193.233.202.17:8088/slvbeaconsc.bin	Ubicación de descarga del shellcode de Sliver
URL	hxxps://193.233.202.17	Endpoint de C2 de Sliver
Contrato Ethereum	0xb3f2897f2bc797e5b9033faef8c81e92b01cb831	Contrato resolutor de C2 de EtherRAT
Clave de búsqueda Ethereum	0x40b57c3622c1CbfD699207F71F2dE5A8Fe256893	Clave de búsqueda del contrato inteligente
Encabezado HTTP	X-Bot-Server	Indicador de detección de red de EtherRAT
Nombre de archivo	consc1.0.1.msi	Instalador de EtherRAT desplegado por tareas programadas remotas
SHA-256	EE6807A8ABFABCED22EE026E178A28DA64D13CC3408E224394FF6E5782FB9E1D	Hash de consc1.0.1.msi
Nombre de archivo	jEdb5ROX.cmd	Bootstrapper de Node.js instalado por el MSI de EtherRAT
SHA-256	F659681525DEBDA69FE0865B2B27A42F684B1FDA66AA7398E80B84CC765C73C7	Hash de jEdb5ROX.cmd
Nombre de archivo	YUGKag9mvNKWylo.bin	Decodificador de EtherRAT y componente de persistencia Run-key
SHA-256	7567994310A9576B1F98DC672ECFA038F1D65084315F59E3883F9B6F24000073	Hash de YUGKag9mvNKWylo.bin
Nombre de archivo	jlfYWzAkN99jpGu.xml	Backdoor de EtherRAT cifrado con XOR
SHA-256	73955566338ADFFB423C3B7608792963080DA780E8B7B2C2CD6B6B0CEF6F217F	Hash de jlfYWzAkN99jpGu.xml
Nombre de archivo	BDQbS2lZ6u.bak	Carga útil de EtherRAT en Node.js decodificada
SHA-256	86881B8E9D197AC2F734792DE48D5DFAEBE7CAFB6E35D49C5DD7FE6EB697230E	Hash de BDQbS2lZ6u.bak
Nombre de archivo	task39.ps1	Script de creación de cuentas, impairment de defensa, robo de colmenas, tunelización y shell inversa
Hash	F609621698EAAD8C4683750FE8BD0E2423	Hash listado para task39.ps1
Nombre de archivo	slvbeaconsc.bin	Shellcode de beacon de Sliver empaquetado con SGN/Donut
SHA-256	FB94688ED37DFCB985A8A4D720230E5150956E1788D579B0A54B53A153FD2F2E	Hash de slvbeaconsc.bin
Nombre de archivo	VOCATIONALGORILLA	Implante de Sliver extraído del shellcode
SHA-256	C7A80576FBD25057435652788591D13998DA272EDF627FC29D296684CEFC50E5	Hash del implante de Sliver extraído
Nombre de archivo	svchostupdate.exe	Implante de Sliver independiente ofuscado con Garble
SHA-256	BD61C2880920BBFB86C12DF439DD1CA0258A10E532433698FD029AEF2A5B33F2	Hash de svchostupdate.exe
Nombres de archivos	update.exe, wsstable.exe	Shells inversas en Go duplicadas con multi-controlador
SHA-256	F4C87A1DF04274B7497CBF9A4619B946C915CF5210B6E2EAA2FEE1629F4FF196	Hash de los binarios duplicados de shell inversa en Go
Nombre de archivo	ws3srv.exe	Shell inversa en Go con multi-controlador
SHA-256	756C2096F54C5497110C9D854625C3ED592873E566D532077CD7ADB4D10D4ADD	Hash de ws3srv.exe
Nombres de tareas programadas	WinSvcUpdate2, WindowsUpdSvc31, WindowsUpdateSvc, SysUpdate	Nombres de tareas programadas remotas maliciosas
Ruta de archivo	C:\upd.exe	Shell inversa en Go preparada por task39.ps1
Ruta de archivo	C:\37.exe	Shell inversa privilegiada lanzada por getsys.exe
Artefacto	APPDATA.log	Log de tiempo de ejecución de EtherRAT
Artefacto	APPDATA.nodebotid	Configuración de EtherRAT e identificador de bot
Artefacto de registro	Clave Run de HKCU	Ubicación de persistencia de EtherRAT
Credencial	support2 : Supp0rt22026!	Credenciales de cuenta creadas o utilizadas por las herramientas de intrusión

Nota: Las direcciones IP y los dominios están deliberadamente desactivados (ej. [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/remote-scheduled-tasks-etherrat/