Operación Fantasma: los duques no han vuelto, nunca se fueron

Los Dukes (también conocidos como APT29 y Cozy Bear) han estado en el centro de atención después de su presunta participación en la violación del Comité Nacional Demócrata en el período previo a las elecciones estadounidenses de 2016. Desde entonces, a excepción de un regreso sospechoso y único en noviembre de 2018, con una campaña de phishing dirigida a varias organizaciones con sede en los EE. UU., Ninguna actividad se ha atribuido con confianza a los Dukes. Esto nos dejó pensando que el grupo había detenido sus actividades.

Esto se mantuvo hasta los últimos meses, cuando descubrimos tres nuevas familias de malware que atribuimos a los Dukes: PolyglotDuke, RegDuke y FatDuke. Estos nuevos implantes se usaron hasta hace muy poco, y la última muestra observada se implementó en junio de 2019. Esto significa que los Dukes han estado bastante activos desde 2016, desarrollando nuevos implantes y comprometiendo objetivos de alto valor. Llamamos a estas actividades de Dukes recientemente descubiertas, colectivamente, Operación fantasma.

Cronología y victimología

Creemos Operación fantasma comenzó en 2013 y todavía está en curso a partir de este escrito. Nuestra investigación muestra que los ministerios de Asuntos Exteriores en al menos tres países diferentes de Europa se ven afectados por esta campaña. También hemos descubierto una infiltración de los duques en la embajada de Washington, DC de un país de la Unión Europea.

Uno de los primeros rastros públicos de esta campaña se encuentra en Reddit en julio de 2014. La Figura 1 muestra un mensaje publicado por los atacantes. La cadena extraña que usa un juego de caracteres inusual es la URL codificada de un servidor de C&C utilizado por PolyglotDuke.

La Figura 2 presenta la línea de tiempo de Operación fantasma. Como se basa en la telemetría de ESET, podría ser solo una vista parcial de una campaña más amplia.

Atribución a los duques

Por un lado, notamos numerosas similitudes en las tácticas de esta campaña con las de las previamente documentadas, como el uso de:

• Twitter (y otros sitios web sociales como Reddit) para alojar URL de C&C
• esteganografía en imágenes para ocultar cargas útiles o comunicaciones C&C
• Instrumental de administración de Windows (WMI) para persistencia

También notamos importantes similitudes en la orientación:

• Todos los objetivos conocidos son Ministerios de Asuntos Exteriores.
• Las organizaciones objetivo conocidas estaban anteriormente comprometidas por otro malware de Dukes como CozyDuke, OnionDuke o MiniDuke.
• En algunas máquinas comprometidas con PolyglotDuke y MiniDuke, notamos que CozyDuke se instaló solo unos meses antes.

Sin embargo, una atribución basada solo en la presencia de herramientas Dukes conocidas en las mismas máquinas debe tomarse con un grano de sal. También encontramos otros dos actores de amenazas APT: Turla y Sednit – en algunas de las mismas computadoras.

Por otro lado, encontramos fuertes similitudes de código entre muestras ya documentadas y muestras de Operación fantasma. No podemos descartar la posibilidad de una operación de bandera falsa, sin embargo, esta campaña comenzó mientras solo se conocía una pequeña porción del arsenal de los Dukes. En 2013, en la primera fecha de compilación conocida de PolyglotDuke, solo MiniDuke había sido documentado y los analistas de amenazas aún no eran conscientes de la importancia de este actor de amenazas. Por lo tanto, creemos Operación fantasma se ejecutó simultáneamente con las otras campañas y ha pasado desapercibido hasta ahora.

PolyglotDuke (SHA-1: D09C4E7B641F8CB7CC86190FD9A778C6955FEA28) utiliza un algoritmo de cifrado personalizado para descifrar las cadenas utilizadas por el malware. Encontramos código funcionalmente equivalente en una muestra de OnionDuke (SHA-1: A75995F94854DEA8799650A2F4A97980B71199D2) que fue documentado por F-Secure en 2014. Es interesante observar que el valor utilizado para sembrar el srand La función es la marca de tiempo de compilación del ejecutable. Por ejemplo, 0x5289f207 corresponde al lunes 18 de noviembre de 2013 10:55:03 UTC.

Las capturas de pantalla de IDA en la Figura 3 muestran las dos funciones similares.

Además, las muestras recientes de la puerta trasera MiniDuke tienen similitudes con muestras documentadas hace más de cinco años. La Figura 4 es la comparación de una función en una puerta trasera MiniDuke listada por Kaspersky en 2014 (SHA-1: 86EC70C27E5346700714DBAE2F10E168A08210E4) y una puerta trasera MiniDuke (SHA-1: B05CABA461000C6EBD8B237F318577E9BCCD6047) compilado en agosto de 2018.

Dadas las numerosas similitudes entre otras campañas conocidas de Dukes y Operación fantasma, especialmente las fuertes similitudes del código y la superposición en el tiempo con las campañas anteriores, evaluamos con gran confianza que esta operación está a cargo de los Dukes.

Herramientas y técnicas actualizadas.

En Operación fantasma, los Dukes han usado un número limitado de herramientas, pero han confiado en numerosas tácticas interesantes para evitar ser detectados.

Primero, son muy persistentes. Roban credenciales y las usan sistemáticamente para moverse lateralmente en la red. Los hemos visto usando credenciales administrativas para comprometer o volver a comprometer máquinas en la misma red local. Por lo tanto, al responder a un compromiso de Dukes, es importante asegurarse de retirar cada implante en un corto período de tiempo. De lo contrario, los atacantes usarán cualquier implante restante para comprometer nuevamente los sistemas limpios.

En segundo lugar, tienen una plataforma de malware sofisticada dividida en cuatro etapas:

• PolyglotDuke, que usa Twitter u otros sitios web como Reddit e Imgur para obtener su URL de C&C. También se basa en la esteganografía en imágenes para su comunicación C&C.
• RegDuke, una primera etapa de recuperación, que usa Dropbox como su servidor C&C. La carga principal se cifra en el disco y la clave de cifrado se almacena en el registro de Windows. También se basa en la esteganografía como se indicó anteriormente.
• Puerta trasera MiniDuke, la segunda etapa. Esta puerta trasera simple está escrita en ensamblador. Es muy similar a las puertas traseras MiniDuke más antiguas.
• FatDuke, la tercera etapa. Esta sofisticada puerta trasera implementa muchas funcionalidades y tiene una configuración muy flexible. Su código también está bien ofuscado usando muchos predicados opacos. Lo vuelven a compilar y modifican la ofuscación con frecuencia para evitar detecciones de productos de seguridad.

La Figura 5 es un resumen de la plataforma de malware de Operación fantasma.

En tercer lugar, también notamos que los operadores evitan usar la misma infraestructura de red de C&C entre diferentes organizaciones de víctimas. Este tipo de compartimentación generalmente solo es visto por los atacantes más meticulosos. Evita que se queme toda la operación cuando una sola víctima descubre la infestación y comparte las IoC de la red relacionadas con la comunidad de seguridad.

Conclusión

Nuestra nueva investigación muestra que incluso si un grupo de espionaje desaparece de los informes públicos durante muchos años, es posible que no haya dejado de espiar. Los duques pudieron volar por debajo del radar durante muchos años, al tiempo que comprometían objetivos de alto valor, como antes.

Puede encontrar una lista completa de Indicadores de compromiso (IoC) y muestras en el libro blanco completo y en GitHub.

Para un análisis detallado de la puerta trasera, consulte nuestro papel blanco. Para cualquier consulta, o para realizar presentaciones de muestras relacionadas con el tema, contáctenos en hazardintel@eset.com.

Técnicas MITRE ATT y CK

Táctica	CARNÉ DE IDENTIDAD	Nombre	Descripción
Acceso inicial	T1193	Accesorio de pesca submarina	Los duques probablemente usaron correos electrónicos de spearphishing para comprometer al objetivo.
	T1078	Cuentas Validas	Los operadores usan las credenciales de cuenta robadas anteriormente para volver a la red de la víctima.
Ejecución	T1106	Ejecución a través de API	Utilizan las API de Windows CreateProcess o LoadLibrary para ejecutar binarios.
	T1129	Ejecución a través de carga de módulo	Algunos de sus malware cargan DLL utilizando la API de Windows LoadLibrary.
	T1086	Potencia Shell	FatDuke puede ejecutar scripts de PowerShell.
	T1085	Rundll32	El cargador FatDuke usa rundll32 para ejecutar la DLL principal.
	T1064	Scripting	FatDuke puede ejecutar scripts de PowerShell.
	T1035	Servicio de ejecución	Los Dukes usan PsExec para ejecutar binarios en hosts remotos.
Persistencia	T1060	Claves de ejecución del registro / Carpeta de inicio	Los Dukes usan la clave de registro CurrentVersion Run para establecer la persistencia en las computadoras comprometidas.
	T1053	Tarea programada	Los Dukes usan la Tarea Programada para lanzar malware al inicio.
	T1078	Cuentas Validas	Los Dukes usan las credenciales de cuenta robadas anteriormente para volver a la red de la víctima.
	T1084	Suscripción de eventos de instrumentación de administración de Windows	Los duques usaron WMI para establecer la persistencia de RegDuke.
Evasión de defensa	T1140	Desobuscar / decodificar archivos o información	Los goteros para PolyglotDuke y LiteDuke incorporan cargas encriptadas.
	T1107	Eliminación de archivos	El malware Dukes puede eliminar archivos y directorios.
	T1112	Modificar registro	Las claves utilizadas para descifrar las cargas útiles de RegDuke se almacenan en el registro de Windows.
	T1027	Archivos o información ofuscados	Dukes cifra las cargas útiles de PolyglotDuke y LiteDuke con algoritmos personalizados. También se basan en técnicas conocidas de ofuscación, como predicados opacos y control del aplanamiento del flujo para ofuscar RegDuke, MiniDuke y FatDuke.
	T1085	Rundll32	El cargador FatDuke usa rundll32 para ejecutar la DLL principal.
	T1064	Scripting	FatDuke puede ejecutar scripts de PowerShell.
	T1045	Embalaje de software	Los Dukes usan un empacador personalizado para ofuscar los binarios MiniDuke y FatDuke. También usan el empacador comercial .NET Reactor para ofuscar a RegDuke.
	T1078	Cuentas Validas	Los Dukes usan las credenciales de cuenta robadas anteriormente para volver a la red de la víctima.
	T1102	Servicio web	PolyglotDuke busca páginas web públicas (Twitter, Reddit, Imgur, etc.) para obtener cadenas encriptadas que conducen a nuevos C&C. servidor. Para RegDuke, también usan Dropbox como servidor C&C.
Descubrimiento	T1083	Descubrimiento de archivos y directorios	Los Dukes pueden interactuar con archivos y directorios en la computadora de la víctima.
	T1135	Descubrimiento de redes compartidas	Los duques pueden enumerar los recursos compartidos de la red.
	T1057	Descubrimiento de procesos	Los duques pueden enumerar los procesos en ejecución.
	T1049	Descubrimiento de conexiones de red del sistema	Los duques pueden ejecutar comandos como uso neto para recopilar información sobre las conexiones de red.
Movimiento lateral	T1077	Recursos compartidos de administrador de Windows	Los Dukes usan PsExec para ejecutar binarios en un host remoto.
Colección	T1005	Datos del sistema local	Los Dukes pueden recolectar archivos en las máquinas comprometidas
	T1039	Datos de la unidad compartida de red	Los Dukes pueden recopilar archivos en unidades compartidas.
	T1025	Datos de medios extraíbles	Los Dukes pueden recopilar archivos en unidades extraíbles.
Comando y control	T1090	Proxy de conexión	Los Dukes pueden comunicarse con el servidor de C&C a través de un proxy. También usan canalizaciones con nombre como servidores proxy cuando una máquina está aislada dentro de una red y no tiene acceso directo a Internet.
	T1001	Ofuscación de datos	Los Dukes usan esteganografía para ocultar cargas útiles y comandos dentro de imágenes válidas.
	T1008	Canales de reserva	Los Dukes tienen múltiples servidores C&C en caso de que uno de ellos esté caído.
	T1071	Protocolo de capa de aplicación estándar	Los Dukes están utilizando los protocolos HTTP y HTTPS para comunicarse con el servidor C&C.
	T1102	Servicio web	PolyglotDuke busca páginas web públicas (Twitter, Reddit, Imgur, etc.) para obtener cadenas encriptadas que conducen al nuevo servidor de C&C. Para RegDuke, también usan Dropbox como servidor C&C.
Exfiltración	T1041	Exfiltración sobre el canal de comando y control	Los Dukes usan el canal C&C para filtrar datos robados.

Investigación de ESET 17 oct 2019-11: 30 a.m.