Vinculados a Midnight Blizzard utilizaron la IA Claude de Anthropic para reconstruir malware después de que las herramientas de seguridad lo detectaran. Este método les permitió mantener sus operaciones de espionaje contra objetivos en Ucrania y Europa. Sin embargo, investigaciones recientes revelan que, aunque cambiaron el código y el hash de los archivos, no lograron eliminar los comportamientos compartidos y los vínculos con el servidor, lo que permitió a los investigadores rastrear la campaña.

Nuevas investigaciones muestran que cambiar el código y el hash de un archivo no borró el comportamiento compartido ni los enlaces al servidor que ayudaron a los investigadores a rastrear la campaña.

Anthropic rastrea la actividad como GTG-20006 y afirma que sus objetivos y métodos coinciden con los informes públicos sobre Midnight Blizzard. La operación tuvo como objetivo más de 20 organizaciones gubernamentales, diplomáticas, centros de pensamiento y de defensa.

Su uso de la automatización de ataques con la IA de Claude se extendió más allá de la escritura de código, alcanzando sistemas de phishing, actualizaciones de malware y recolección de datos robados.

Investigadores de ReversingLabs identificaron y clasificaron el malware, y luego expandieron dos hashes de archivos publicados hacia un mapa de campaña más amplio.

Su informe de investigación del 15 de octubre vinculó las muestras con un servidor de almacenamiento (staging), cinco compilaciones adicionales de PowerShell, dos señuelos de accesos directos y conexiones entre dominios de phishing y servidores. Sin embargo, su análisis de archivos no prueba de forma independiente la identidad del actor.

Vinculados a Midnight Blizzard utilizan la IA de Claude

Anthropic señaló que el operador utilizó Claude para encontrar, cambiar y volver a desplegar implantes detectados. ReversingLabs encontró cinco compilaciones adicionales de stagers en un periodo de 25 días, del 9 de julio al 3 de agosto.

Ese patrón encaja con un ciclo de reconstrucción continuo, pero los investigadores no pueden determinar a partir de sus propios registros si la IA produjo esas versiones.

Las dos muestras iniciales fueron ChocoShell, un stager de PowerShell, y CornFlake, una puerta trasera (backdoor) de Windows escrita en Go.

Microsoft nombró a ambos en su informe CaptiveCrunch y vinculó esa operación con Storm-2945, que evalúa como un subgrupo operativo de Midnight Blizzard. ReversingLabs vio CornFlake por primera vez el 6 de julio y ChocoShell el 10 de julio.

Debes leer con cuidado esos avistamientos tempranos. ReversingLabs clasificó ambos archivos como maliciosos el 1 de agosto, un día después de que Microsoft publicara su informe. La clasificación se basó en la reputación de la amenaza.

Por lo tanto, sus registros muestran que poseían las muestras previamente, no un veredicto malicioso independiente antes de la revelación de Microsoft.

Dentro del conjunto de herramientas ChocoShell y CornFlake

ChocoShell oculta su ventana, cambia la política de ejecución de PowerShell y ejecuta código codificado en Base64. Utiliza código público de PowerSploit y Empire para recopilar el historial del navegador, verifica las copias shadow de Windows a través de WMI y ejecuta tareas en segundo plano.

Sus mensajes HTTPS informan el progreso a través de un endpoint de píxel de seguimiento, mientras que Microsoft también describió el robo de credenciales del navegador y la carga de datos.

Los investigadores encontraron dos archivos de acceso directo de Internet de Windows de 60 bytes que apuntaban al servidor de almacenamiento. Uno conducía a una ruta de descarga corta; el otro apuntaba a una carga útil de PowerShell disfrazada de paquete de JavaScript.

Ninguno de los accesos directos contenía código ejecutable y ninguno de los 37 motores antivirus los marcó. Su peligro provenía de los destinos que abrían. El relato de Microsoft sitúa portales de red de hoteles y recintos comprometidos en una etapa anterior de la cadena de ataque.

Estos ataques de malware a través de Wi-Fi de hoteles redirigían a los viajeros a páginas de phishing y avisos de ClickFix. ReversingLabs no observó esa actividad previa, por lo que sus hallazgos sobre los accesos directos no deben tomarse como prueba de cada paso descrito por Microsoft.

CornFlake establece un acceso continuo a través de una entrada de inicio en el registro y otra ruta que involucra la programación de tareas de Windows. Se inyecta en un proceso suspendido y lee perfiles del navegador y datos de caché de Microsoft Teams.

Los hallazgos en el sandbox también mostraron signos de keylogging. Es importante que sepas que ReversingLabs no observó cómo CornFlake llegaba a las víctimas ni estableció un enlace de entrega directo desde ChocoShell.

La conexión más fuerte entre los stagers reconstruidos fue el comportamiento. Los cinco compartían el mismo perfil de capacidades de 35 elementos a pesar de tener diferentes hashes. Algunos cambios de código rompieron la coincidencia de fuzzy-hash, que compara la similitud de los archivos.

Sin embargo, las mismas etiquetas de beacon permanecieron. Una búsqueda de YARA basada en esas etiquetas y acciones de PowerShell encontró siete scripts maliciosos, incluida la muestra original.

Dos stagers adicionales y ambos accesos directos tenían fuertes vínculos de infraestructura. Otros scripts compartían el conjunto de herramientas pero carecían de una conexión de red observada, dejando espacio para otro operador que utilice código similar. Esa distinción es importante cuando decidas qué hallazgos respaldan la atribución de la campaña y cuáles proporcionan pistas de caza.

El servidor de almacenamiento todavía entregaba archivos maliciosos durante las comprobaciones del 5 de octubre. ReversingLabs recomienda buscar en los registros históricos, bloquear la infraestructura confirmada y revisar los inicios de sesión mediante código de dispositivo de Microsoft Entra.

El robo previo de credenciales de chat de Teams muestra el enfoque más amplio del grupo en el acceso a cuentas. Los equipos deberían restringir la autenticación de código de dispositivo no utilizada y probar las reglas de detección con archivos limpios antes del despliegue.

La lección práctica es que sigas lo que hace el malware y dónde se conecta, en lugar de depender únicamente de un hash de archivo o de recuentos bajos de detección de servicios de reputación externos durante una investigación activa.

Fuentes:
https://cybersecuritynews.com/midnight-blizzard-linked-hackers/