Operación Fantasma: los duques no han vuelto, nunca se fueron

Los Dukes (también conocidos como APT29 y Cozy Bear) han estado en el centro de atención después de su presunta participación en la violación del Comité Nacional Demócrata en el período previo a las elecciones estadounidenses de 2016. Desde entonces, a excepción de un regreso sospechoso y único en noviembre de 2018, con una campaña de phishing dirigida a varias organizaciones con sede en los EE. UU., Ninguna actividad se ha atribuido con confianza a los Dukes. Esto nos dejó pensando que el grupo había detenido sus actividades.

Esto se mantuvo hasta los últimos meses, cuando descubrimos tres nuevas familias de malware que atribuimos a los Dukes: PolyglotDuke, RegDuke y FatDuke. Estos nuevos implantes se usaron hasta hace muy poco, y la última muestra observada se implementó en junio de 2019. Esto significa que los Dukes han estado bastante activos desde 2016, desarrollando nuevos implantes y comprometiendo objetivos de alto valor. Llamamos a estas actividades de Dukes recientemente descubiertas, colectivamente, Operación fantasma.

Cronología y victimología

Creemos Operación fantasma comenzó en 2013 y todavía está en curso a partir de este escrito. Nuestra investigación muestra que los ministerios de Asuntos Exteriores en al menos tres países diferentes de Europa se ven afectados por esta campaña. También hemos descubierto una infiltración de los duques en la embajada de Washington, DC de un país de la Unión Europea.

Uno de los primeros rastros públicos de esta campaña se encuentra en Reddit en julio de 2014. La Figura 1 muestra un mensaje publicado por los atacantes. La cadena extraña que usa un juego de caracteres inusual es la URL codificada de un servidor de C&C utilizado por PolyglotDuke.

Figura 1. Publicación de Reddit que contiene una URL de comando y control codificada

La Figura 2 presenta la línea de tiempo de Operación fantasma. Como se basa en la telemetría de ESET, podría ser solo una vista parcial de una campaña más amplia.

Figura 2. Cronología de la Operación Fantasma

Atribución a los duques

Por un lado, notamos numerosas similitudes en las tácticas de esta campaña con las de las previamente documentadas, como el uso de:

• Twitter (y otros sitios web sociales como Reddit) para alojar URL de C&C
• esteganografía en imágenes para ocultar cargas útiles o comunicaciones C&C
• Instrumental de administración de Windows (WMI) para persistencia

También notamos importantes similitudes en la orientación:

• Todos los objetivos conocidos son Ministerios de Asuntos Exteriores.
• Las organizaciones objetivo conocidas estaban anteriormente comprometidas por otro malware de Dukes como CozyDuke, OnionDuke o MiniDuke.
• En algunas máquinas comprometidas con PolyglotDuke y MiniDuke, notamos que CozyDuke se instaló solo unos meses antes.

Sin embargo, una atribución basada solo en la presencia de herramientas Dukes conocidas en las mismas máquinas debe tomarse con un grano de sal. También encontramos otros dos actores de amenazas APT: Turla y Sednit – en algunas de las mismas computadoras.

Por otro lado, encontramos fuertes similitudes de código entre muestras ya documentadas y muestras de Operación fantasma. No podemos descartar la posibilidad de una operación de bandera falsa, sin embargo, esta campaña comenzó mientras solo se conocía una pequeña porción del arsenal de los Dukes. En 2013, en la primera fecha de compilación conocida de PolyglotDuke, solo MiniDuke había sido documentado y los analistas de amenazas aún no eran conscientes de la importancia de este actor de amenazas. Por lo tanto, creemos Operación fantasma se ejecutó simultáneamente con las otras campañas y ha pasado desapercibido hasta ahora.

PolyglotDuke (SHA-1: D09C4E7B641F8CB7CC86190FD9A778C6955FEA28) utiliza un algoritmo de cifrado personalizado para descifrar las cadenas utilizadas por el malware. Encontramos código funcionalmente equivalente en una muestra de OnionDuke (SHA-1: A75995F94854DEA8799650A2F4A97980B71199D2) que fue documentado por F-Secure en 2014. Es interesante observar que el valor utilizado para sembrar el srand La función es la marca de tiempo de compilación del ejecutable. Por ejemplo, 0x5289f207 corresponde al lunes 18 de noviembre de 2013 10:55:03 UTC.

Las capturas de pantalla de IDA en la Figura 3 muestran las dos funciones similares.

Figura 3. Comparación de una función de cifrado de cadena personalizada que se encuentra en PolyglotDuke (a la izquierda) y en OnionDuke (a la derecha) muestras de 2013

Además, las muestras recientes de la puerta trasera MiniDuke tienen similitudes con muestras documentadas hace más de cinco años. La Figura 4 es la comparación de una función en una puerta trasera MiniDuke listada por Kaspersky en 2014 (SHA-1: 86EC70C27E5346700714DBAE2F10E168A08210E4) y una puerta trasera MiniDuke (SHA-1: B05CABA461000C6EBD8B237F318577E9BCCD6047) compilado en agosto de 2018.

Figura 4. Comparación de la misma función en MiniDuke de 2014 (en la parte superior) y en MiniDuke de 2018 (en la parte inferior)

Dadas las numerosas similitudes entre otras campañas conocidas de Dukes y Operación fantasma, especialmente las fuertes similitudes del código y la superposición en el tiempo con las campañas anteriores, evaluamos con gran confianza que esta operación está a cargo de los Dukes.

Herramientas y técnicas actualizadas.

En Operación fantasma, los Dukes han usado un número limitado de herramientas, pero han confiado en numerosas tácticas interesantes para evitar ser detectados.

Primero, son muy persistentes. Roban credenciales y las usan sistemáticamente para moverse lateralmente en la red. Los hemos visto usando credenciales administrativas para comprometer o volver a comprometer máquinas en la misma red local. Por lo tanto, al responder a un compromiso de Dukes, es importante asegurarse de retirar cada implante en un corto período de tiempo. De lo contrario, los atacantes usarán cualquier implante restante para comprometer nuevamente los sistemas limpios.

En segundo lugar, tienen una plataforma de malware sofisticada dividida en cuatro etapas:

• PolyglotDuke, que usa Twitter u otros sitios web como Reddit e Imgur para obtener su URL de C&C. También se basa en la esteganografía en imágenes para su comunicación C&C.
• RegDuke, una primera etapa de recuperación, que usa Dropbox como su servidor C&C. La carga principal se cifra en el disco y la clave de cifrado se almacena en el registro de Windows. También se basa en la esteganografía como se indicó anteriormente.
• Puerta trasera MiniDuke, la segunda etapa. Esta puerta trasera simple está escrita en ensamblador. Es muy similar a las puertas traseras MiniDuke más antiguas.
• FatDuke, la tercera etapa. Esta sofisticada puerta trasera implementa muchas funcionalidades y tiene una configuración muy flexible. Su código también está bien ofuscado usando muchos predicados opacos. Lo vuelven a compilar y modifican la ofuscación con frecuencia para evitar detecciones de productos de seguridad.

La Figura 5 es un resumen de la plataforma de malware de Operación fantasma.

Figura 5. Resumen de la plataforma de malware Operation Ghost

En tercer lugar, también notamos que los operadores evitan usar la misma infraestructura de red de C&C entre diferentes organizaciones de víctimas. Este tipo de compartimentación generalmente solo es visto por los atacantes más meticulosos. Evita que se queme toda la operación cuando una sola víctima descubre la infestación y comparte las IoC de la red relacionadas con la comunidad de seguridad.

Conclusión

Nuestra nueva investigación muestra que incluso si un grupo de espionaje desaparece de los informes públicos durante muchos años, es posible que no haya dejado de espiar. Los duques pudieron volar por debajo del radar durante muchos años, al tiempo que comprometían objetivos de alto valor, como antes.

Puede encontrar una lista completa de Indicadores de compromiso (IoC) y muestras en el libro blanco completo y en GitHub.

Para un análisis detallado de la puerta trasera, consulte nuestro papel blanco. Para cualquier consulta, o para realizar presentaciones de muestras relacionadas con el tema, contáctenos en hazardintel@eset.com.

Técnicas MITRE ATT y CK

Investigación de ESET 17 oct 2019-11: 30 a.m.