Se ha detectado un archivo adjunto malicioso en WhatsApp que despliega un troyano de acceso remoto en Windows. El ataque comienza con un archivo ZIP que utiliza un documento financiero como señuelo y contiene un ejecutable llamado Statement.exe. Una vez ejecutado, el malware puede alcanzar un acceso de nivel SYSTEM, otorgando a los atacantes un control profundo y total sobre el equipo infectado.

Se está utilizando un archivo adjunto malicioso de WhatsApp para desplegar un troyano de acceso remoto (RAT) de Windows que puede alcanzar acceso a nivel de SYSTEM, otorgando a sus operadores un control profundo sobre las máquinas infectadas.

La campaña comienza con un archivo ZIP que contiene un señuelo de documento financiero y un ejecutable llamado Statement.exe.

Una vez que abres el archivo, el malware inicia una cadena larga y oculta que se desplaza desde un proceso de nivel de usuario hasta un servicio de Windows que se ejecuta con derechos de LocalSystem.

La carga útil final, denominada VulcanRAT207.A, otorga a los operadores remotos la capacidad de recopilar datos del sistema, ejecutar comandos, gestionar archivos, capturar pantallas, registrar pulsaciones de teclado, crear o cambiar cuentas locales y desplegar más cargas útiles.

La campaña también utiliza un controlador firmado para finalizar procesos de seguridad seleccionados y crea una tarea programada que puede reiniciar el RAT con privilegios de SYSTEM después de un reinicio.

Esto convierte al archivo entregado por WhatsApp en un riesgo serio para las organizaciones donde tu personal recibe facturas, estados de cuenta, archivos fiscales o documentos relacionados con pagos a través de aplicaciones de mensajería.

Analistas de Morphisec identificaron la cadena de malware y describieron cómo se mueve desde un adjunto de WhatsApp hasta una conexión completa de RAT basada en WebSocket.

Su investigación muestra que los actores dividen la actividad en etapas separadas para el desempaquetado, la elevación de privilegios, la inyección de código, la descarga de la carga útil, la interrupción de herramientas de seguridad, la persistencia y el control remoto.

Adjunto de WhatsApp despliega malware

Este diseño reduce la cantidad de comportamiento sospechoso visible desde cualquier archivo individual y hace que la investigación sea más difícil. El primer ejecutable está fuertemente empaquetado con compresión NRV2E, lo que oculta el cargador real de las comprobaciones estáticas básicas.

Después de ejecutarse, el cargador comprueba si la máquina parece el sistema de un usuario real en lugar de un entorno de análisis automatizado.

Revisa el espacio en disco, los detalles de la pantalla, la memoria, los recursos de la CPU, los registros de eventos, las claves del Registro, los marcadores de máquinas virtuales y los productos de seguridad. También utiliza comprobaciones de tiempo destinadas a detener la ejecución en sandboxes lentas o sistemas emulados.

Se informó de un uso similar del método de inyección PoolParty Variante 7 en la cobertura de la actividad del instalador de ValleyRAT LINE, lo que demuestra por qué debes vigilar el comportamiento inusual del grupo de hilos (thread-pool) de Windows y la finalización de E/S.

Si el malware aún no tiene permisos de administrador, intenta la elevación a través de objetos COM y puede recurrir a la función runas de Windows.

Luego habilita SeDebugPrivilege, restaura una copia limpia de ntdll.dll para eliminar los ganchos (hooks) de seguridad del modo usuario e inyecta el shellcode del descargador en el proceso que aloja el servicio del Programador de Tareas de Windows.

En lugar de utilizar el método más común CreateRemoteThread, utiliza PoolParty Variante 7 y el sistema de finalización de E/S de Windows para ejecutar código dentro del proceso del servicio confiable.

Dado que el Programador de Tareas se ejecuta como LocalSystem, los componentes posteriores heredan el acceso SYSTEM en lugar de necesitar elevarse nuevamente. El shellcode inyectado contacta a 61[.]18[.]208[.]27 a través del puerto 8888 y descarga un paquete de despliegue en la memoria.

El paquete incluye una utilidad VulkanInfo legítima firmada por Intel, una vulkan-1.dll maliciosa, un contenedor RAT vulkan-1.bin y una DLL de despliegue.

La amenaza utiliza una técnica conocida como DLL sideloading, donde una aplicación legítima carga una DLL controlada por el atacante colocada junto a ella.

El mismo método ha aparecido en otras campañas centradas en WhatsApp, incluido el secuestro de sesiones de WhatsApp Web, donde también se abusó de programas confiables de Windows para cargar malware.

Antes de establecer la persistencia, la DLL de despliegue intenta instalar GoFly64.sys, un controlador de filtro de red chino legítimamente firmado. Crea un archivo de controlador y un servicio temporales, y luego envía los ID de proceso al controlador a través del código de control 0x12227A.

El malware actúa a nivel de kernel

Morphisec descubrió que esta ruta tiene como objetivo bdservicehost.exe y bduserhost.exe, que están conectados al software de seguridad Baidu. El uso de un controlador firmado es importante porque permite que el malware actúe a nivel de kernel y finalice procesos de protección seleccionados.

Tus equipos de seguridad deben tratar la creación inesperada de servicios de controladores, especialmente desde rutas temporales bajo el directorio de controladores de Windows, como un evento de alta prioridad.

Para la persistencia, el malware escribe vulkaninfo-64.exe, vulkan-1.dll y vulkan-1.bin en C:\Program Files\Common Files\.

Luego crea una tarea programada de SYSTEM llamada USOPrivate Kit o USOPrivate, utilizando nombres que pueden parecer relacionados con la actividad normal de actualización de Microsoft.

Cuando la tarea inicia la utilidad firmada VulkanInfo, la aplicación busca en su carpeta local la vulkan-1.dll y carga el archivo malicioso. La DLL lee el archivo .bin cercano, reconstruye el RAT final en la memoria y mantiene el proceso anfitrión confiable en ejecución.

Informes anteriores sobre las cadenas de entrega de malware de TA4922 también documentaron el uso de archivos relacionados con Vulkan, como vulkan-1.dll y vulkan-1.bin, en el ecosistema más amplio del malware.

VulcanRAT207.A se comunica con el mismo servidor a través de WebSocket versión 13 después de utilizar primero HTTP para la recuperación de la etapa.

El RAT puede recopilar detalles del host, cuentas de usuario, conexiones de red, aplicaciones instaladas, procesos en ejecución, servicios, registros de eventos y archivos seleccionados por el operador.

También puede abrir consolas de comandos remotas, capturar el escritorio, registrar pulsaciones de teclado, controlar el ratón y el teclado, alterar los datos del portapapeles, bloquear el tráfico de red a través de reglas de la Plataforma de Filtrado de Windows e inyectar cargas útiles en otros procesos.

Su conjunto de comandos puede crear una cuenta de administrador local, cambiar contraseñas, descargar archivos, ejecutar ejecutables e incluso registrar controladores adicionales.

Tus organizaciones deben bloquear el contenido ejecutable recibido a través de WhatsApp y otras plataformas de mensajería, particularmente los archivos ZIP que afirman contener estados financieros o documentos fiscales.

Tus equipos de endpoint deben buscar procesos del Programador de Tareas que muestren una actividad de memoria inusual, la creación de la tarea USOPrivate Kit, archivos inesperados en C:\Program Files\Common Files\ y la ejecución de vulkaninfo-64.exe desde ese directorio.

El monitoreo de la instalación de controladores firmados y los intentos de finalización de procesos contra los productos de seguridad de endpoint también puede ayudar a detener esta cadena antes de que el RAT se active.

Fuentes:
https://cybersecuritynews.com/whatsapp-attachment-deploys-malware/