Desenterrando el arsenal oculto de InvisiMole

En nuestro seguimiento del grupo InvisiMole, que nosotros redescubierto y reportado por primera vez en 2018, hemos encontrado una nueva campaña dirigida a organizaciones de alto perfil en Europa del Este. Al investigar los ataques, en estrecha colaboración con las organizaciones afectadas, descubrimos su conjunto de herramientas actualizado y detalles previamente desconocidos sobre las tácticas, técnicas y procedimientos (TTP) de InvisiMole.

En esta publicación de blog, resumimos los hallazgos publicados en su totalidad en nuestro libro blanco, InvisiMole: la parte oculta de la historia.

El grupo InvisiMole es un actor de amenazas que opera al menos desde 2013. Anteriormente documentamos sus dos puertas traseras, RC2CL y RC2FM, notables por sus amplias capacidades de espionaje, pero no sabíamos cómo estas puertas traseras se distribuyeron, distribuyeron o instalaron en el sistema.

En esta reciente campaña, el grupo InvisiMole ha resurgido con un conjunto de herramientas actualizado, dirigido a un pequeño número de organizaciones de alto perfil en el sector militar y misiones diplomáticas, ambas en Europa del Este. Según nuestra telemetría, los intentos de ataque continuaron desde finales de 2019 hasta el momento de escribir este informe.

Gracias a la investigación de los ataques en cooperación con las organizaciones afectadas, pudimos exponer el funcionamiento interno del conjunto de herramientas actualizado InvisiMole.

Descubrimos que el arsenal de InvisiMole solo se desata después de que otro grupo de amenazas, Gamaredon, ya se ha infiltrado en la red de interés y posiblemente ha obtenido privilegios administrativos. Esto permite que el grupo InvisiMole idee formas creativas de operar bajo el radar.

Por ejemplo, los atacantes usan cadenas de ejecución largas, diseñadas combinando código malicioso con herramientas legítimas y ejecutables vulnerables. Utilizan túneles DNS para comunicaciones C&C más sigilosas y colocan barreras de ejecución en los componentes maliciosos para ocultar el malware de los investigadores de seguridad.

Mecanismo de entrega

Durante nuestra investigación, descubrimos que InvisiMole es entregado a los sistemas comprometidos por un descargador .NET detectado por los productos de ESET como MSIL / Pterodo, el trabajo del grupo Gamaredon. Gamaredon es un actor de amenazas, operando al menos desde 2013, caracterizado por un rápido desarrollo y haciendo pocos esfuerzos para mantenerse bajo el radar. Nosotros recientemente documentado los nuevos componentes Gamaredon, distribuido a través de correos electrónicos de spearphishing y utilizado para moverse lateralmente lo más lejos posible dentro de la red del objetivo, mientras se toman las huellas digitales de las máquinas.

Nuestra investigación ahora muestra que Gamaredon se utiliza para allanar el camino para una carga útil mucho más sigilosa: según nuestra telemetría, un pequeño número de objetivos de Gamaredon se "actualizan" al malware avanzado InvisiMole, probablemente aquellos considerados particularmente significativos por los atacantes.

Como detallamos en el libro blanco, a pesar de la evidencia de colaboración, consideramos que Gamaredon e InvisiMole son dos grupos distintos con TTP diferentes, en lugar de un solo actor de amenaza.

Mecanismos de difusión y actualización.

Documentamos tres formas en que InvisiMole se propaga dentro de redes comprometidas:

• Utilizando el BlueKeep vulnerabilidad en el protocolo RDP (CVE-2019-0708)
• Utilizando el EternoAzul vulnerabilidad en el protocolo SMB (CVE-2017-0144)
• Utilizando documentos troyanizados e instaladores de software, creados con archivos benignos robados de la organización comprometida.

Para crear los archivos trojanizados, InvisiMole primero roba documentos o instaladores de software de la organización comprometida, y luego crea un archivo SFX que agrupa el archivo con el instalador InvisiMole. El archivo original se reemplaza con la versión armada, mientras se conservan su nombre, icono y metadatos. Los atacantes confían en los usuarios para compartir y ejecutar estos archivos.

Esta técnica de movimiento lateral es especialmente poderosa si el archivo trojanizado es un instalador de software ubicado en un servidor central, una forma común de implementar software en organizaciones más grandes. De esa manera, InvisiMole se distribuye orgánicamente a muchas computadoras que usan este servidor.

Independientemente del método de propagación, el primer componente de InvisiMole implementado en las máquinas recién comprometidas siempre es el descargador TCP de InvisiMole, una simple adición al conjunto de herramientas que descarga la siguiente etapa de la infiltración.

La segunda adición al conjunto de herramientas actualizado de InvisiMole, el descargador de DNS, tiene la misma funcionalidad pero está diseñado para el acceso encubierto a largo plazo a la máquina. Utiliza un método más sigiloso de comunicación C&C, utilizando una técnica llamada Túnel de DNS (ver Figura 2).

Con el túnel DNS, el cliente comprometido no contacta directamente con el servidor de C&C; solo se comunica con los servidores DNS benignos con los que la máquina víctima normalmente se comunicaría, donde envía solicitudes para resolver un dominio a su dirección IP. El servidor DNS luego contacta al servidor de nombres responsable del dominio en la solicitud, que es un servidor de nombres controlado por el atacante, y transmite su respuesta al cliente.

La comunicación real de C&C está incrustada en las solicitudes y respuestas de DNS, sin el conocimiento del servidor DNS benigno que opera como intermediario en la comunicación.

Cadenas de ejecución

La característica más notable del nuevo conjunto de herramientas InvisiMole son sus largas cadenas de ejecución, que se utilizan para implementar las cargas útiles finales: las puertas traseras RC2CM y RC2CL actualizadas, y los nuevos descargadores TCP y DNS.

Reconstruimos cuatro cadenas de ejecución, utilizadas por los atacantes en diversas situaciones, en función de la versión del sistema operativo de la computadora de la víctima y de si podían obtener privilegios administrativos en el sistema:

• los Cadena de mal uso del panel de control utiliza una técnica poco común conocida por las filtraciones de Vault 7, utilizada para lograr la ejecución encubierta en el contexto del Panel de control.
• los Cadena de explotación SMInit explota una vulnerabilidad en el legítimo software Total Video Player. Se utiliza en casos en que los atacantes no han logrado obtener privilegios administrativos en el sistema.
• los Cadena de explotación Speedfan explota una vulnerabilidad de escalada de privilegios locales en el speedfan.sys controlador para inyectar su código a un proceso confiable desde el modo kernel.
• los Cadena de exploits Wdigest es la cadena insignia de InvisiMole, la más elaborada, utilizada en las versiones más recientes de Windows, donde los atacantes tienen privilegios administrativos. Explota una vulnerabilidad en Windows wdigest.dll biblioteca y luego utiliza un mejorado ListPlanting técnica para inyectar su código en un proceso confiable.

InvisiMole introduce todos los ejecutables vulnerables utilizados en estas cadenas; la variación de esta técnica con un controlador vulnerable se ha denominado anteriormente Traiga su propio conductor vulnerable por colegas investigadores. Para los otros casos, hemos llamado la técnica Traiga su propio software vulnerable.

Documentamos estas tácticas en detalle en el Cadenas de ejecución sección de nuestro libro blanco.

Observe el uso intensivo de herramientas legítimas y el cifrado por víctima, que se muestra en la descripción general de estas cuatro cadenas en la Figura 3. Es la táctica de los operadores de InvisiMole instalar exclusivamente herramientas legítimas y reservar las cargas maliciosas para etapas posteriores.

Para colocar barandas de ejecución y encriptar las cargas útiles individualmente por víctima, InvisiMole utiliza una función de Windows llamada API de protección de datos (DPAPI), específicamente:

• la CryptProtectData API para encriptación de datos
• la CryptUnprotectData API para descifrado de datos

Este esquema de cifrado simétrico utiliza una clave derivada de los secretos de inicio de sesión del usuario, por lo que el descifrado debe realizarse en la misma computadora donde se cifraron los datos.

La Figura 4 muestra un fragmento de un cargador InvisiMol típico que utiliza CryptUnprotectData para descifrar y luego comprueba si el blob descifrado comienza con un valor mágico característico InvisiMole de cuatro bytes:

• 64 DA 11 CE para cargas útiles de 64 bits
• 86 DA 11 CE para cargas útiles de 32 bits

InvisiMole abusa de la función DPAPI, destinada al almacenamiento local de credenciales como contraseñas de Wi-Fi o contraseñas de inicio de sesión en navegadores web, para proteger su carga de los investigadores de seguridad. Incluso si encuentran los componentes de InvisiMole en telemetría o en plataformas de intercambio de malware, no pueden descifrarlos fuera de la computadora de la víctima.

Sin embargo, gracias a la cooperación directa con las organizaciones afectadas, pudimos recuperar las cargas útiles y reconstruir cuatro de las cadenas de ejecución de InvisiMole, que se describen en detalle en el documento técnico.

Conclusión

Cuando informamos por primera vez sobre InvisiMole en 2018, destacamos su funcionamiento encubierto y su compleja gama de capacidades. Sin embargo, faltaba una gran parte de la imagen.

Después de descubrir una nueva actividad a fines de 2019, tuvimos la oportunidad de echar un vistazo adecuado bajo el capó de las operaciones de InvisiMole y reconstruir las partes ocultas de la historia. Analizando el conjunto de herramientas actualizado del grupo, observamos un desarrollo continuo y mejoras sustanciales, con especial énfasis en permanecer fuera del radar.

Nuestra investigación también reveló una cooperación previamente desconocida entre InvisiMole y el grupo Gamaredon, con el malware de Gamaredon utilizado para infiltrarse en la red objetivo y entregar el sofisticado malware InvisiMole a objetivos de especial interés.

Después de proporcionar un informe detallado sobre los TTP de InvisiMole, continuaremos rastreando las actividades maliciosas del grupo.

Los nombres de detección de ESET y otros indicadores de compromiso para estas campañas se pueden encontrar en el documento técnico completo, InvisiMole: la parte oculta de la historia.

Agradecimientos a otros investigadores de malware de ESET Matthieu FaouLadislav Janko y Michal Poslušný por su trabajo en esta investigación.

Técnicas MITRE ATT y CK

Nota: Para una mejor legibilidad, hemos separado las puertas traseras RC2FM y RC2CL en sus respectivas tablas de mapeo ATT y CK, debido a sus ricas capacidades. El primer mapeo se refiere a los componentes de soporte de InvisiMole utilizados para la entrega, el movimiento lateral, las cadenas de ejecución y para descargar cargas útiles adicionales.

InvisiMole

Táctica	CARNÉ DE IDENTIDAD	Nombre	Descripción
Ejecución	T1196	Elementos del panel de control	El cargador de InvisiMole está enmascarado como un archivo CPL, haciendo un mal uso de los elementos del panel de control para su ejecución.
	T1106	Ejecución a través de API	InvisiMole ha usado ShellExecuteW y CreateProcessW API para ejecutar archivos.
	T1129	Ejecución a través de carga de módulo	InvisiMole implementa un cargador personalizado para sus componentes (blobs InvisiMole).
	T1203	Explotación para la ejecución del cliente	InvisiMole ha entregado vulnerables Reproductor de video total software y wdigest.dll biblioteca y explotó sus vulnerabilidades de desbordamiento de pila y validación de entrada, respectivamente, para obtener la ejecución de código secreto.
	T1085	Rundll32	InvisiMole ha usado rundll32.exe como parte de su cadena de ejecución.
	T1053	Tarea programada	InvisiMole ha utilizado el programador de tareas de Windows como parte de sus cadenas de ejecución.
	T1064	Scripting	InvisiMole ha usado un archivo JavaScript llamado Control.js como parte de su cadena de ejecución.
	T1035	Ejecución de servicio	InvisiMole ha registrado un servicio de Windows como una de las formas de ejecutar su carga maliciosa.
	T1204	Ejecución de usuario	InvisiMole se ha entregado como versiones troyanizadas de software y documentos, utilizando nombres e iconos engañosos y confiando en la ejecución del usuario.
Persistencia	T1050	Nuevo servicio	InvisiMole ha registrado un servicio de Windows llamado clr_optimization_v2.0.51527_X86 para lograr la persistencia.
	T1060	Claves de ejecución del registro / Carpeta de inicio	InvisiMole ha colocado un archivo LNK en la carpeta de inicio para lograr la persistencia.
	T1053	Tarea programada	InvisiMole ha programado tareas bajo nombres MSST y Microsoft Windows Autochk Programado para lograr la persistencia.
	T1023	Modificación de acceso directo	InvisiMole ha colocado un archivo LNK en la carpeta de inicio para lograr la persistencia.
Escalada de privilegios	T1088	Omitir control de cuenta de usuario	InvisiMole puede omitir UAC para obtener privilegios elevados.
	T1068	Explotación para la escalada de privilegios	InvisiMole ha explotado la vulnerabilidad CVE-2007-5633 en speedfan.sys controlador para obtener privilegios de modo kernel.
Evasión de defensa	T1140	Desobuscar / decodificar archivos o información	InvisiMole descifra las cadenas utilizando variaciones de cifrado XOR. InvisiMole descifra sus componentes utilizando el CryptUnprotectData API y DES triple de dos teclas.
	T1480	Barandillas de ejecución	InvisiMole ha utilizado la API de protección de datos para cifrar sus componentes en la computadora de la víctima, para evadir la detección y asegurarse de que la carga útil solo se pueda descifrar (y luego cargar) en una computadora comprometida específica.
	T1143	Ventana oculta	InvisiMole ha ejecutado herramientas legítimas en ventanas ocultas y las ha utilizado para ejecutar componentes maliciosos de InvisiMole.
	T1066	Indicador de eliminación de herramientas	InvisiMole ha experimentado mejoras técnicas en un intento de evadir la detección.
	T1202	Ejecución indirecta de comandos	InvisiMole ha usado winapiexec herramienta para ejecución indirecta de funciones API de Windows.
	T1027	Archivos o información ofuscados	InvisiMole ha ofuscado cadenas y código para dificultar el análisis, y ha encriptado sus componentes para impedir la detección.
	T1055	Inyección de proceso	InvisiMole ha inyectado su código en procesos confiables utilizando una técnica mejorada de ListPlanting y a través de la cola APC.
	T1108	Acceso redundante	InvisiMole ha implementado múltiples puertas traseras en una sola computadora comprometida.
	T1085	Rundll32	InvisiMole ha usado rundll32.exe como parte de su cadena de ejecución.
	T1064	Scripting	El cargador de InvisiMole utiliza un script JavaScript como parte de la configuración de la persistencia.
	T1063	Descubrimiento de software de seguridad	El complemento DNS de InvisiMole evita la conexión al servidor C&C si se detecta que se están ejecutando rastreadores de red seleccionados.
	T1099	Timestomp	InvisiMole ha modificado las marcas de tiempo de los archivos que crea o modifica.
	T1036	Disfraces	InvisiMole ha intentado disfrazar a sus cuentagotas como software o documentos legítimos, y ocultarse registrándose bajo un nombre de servicio aparentemente legítimo.
Descubrimiento	T1046	Escaneo de servicios de red	InvisiMole ha realizado un escaneo de red dentro de la red comprometida utilizando sus componentes Portscan y BlueKeep, para buscar puertos abiertos y hosts vulnerables a la vulnerabilidad BlueKeep.
	T1518	Descubrimiento de software	El programa de descarga de DNS de InvisiMole intenta detectar las herramientas de sniffer de red seleccionadas y detiene su tráfico de red si se detecta que se está ejecutando.
	T1082	Descubrimiento de información del sistema	El descargador DNS de InvisiMole recopila el nombre de la computadora y el número de serie del volumen del sistema.
	T1124	Descubrimiento de hora del sistema	InvisiMole puede recopilar la marca de tiempo de la máquina de la víctima.
Movimiento lateral	T1210	Explotación de servicios remotos	InvisiMole ha explotado las vulnerabilidades EternalBlue y BlueKeep para el movimiento lateral.
	T1080	Manchar contenido compartido	InvisiMole ha reemplazado software o documentos legítimos en la red comprometida con sus versiones troyanizadas, en un intento de propagarse dentro de la red.
Comando y control	T1043	Puerto de uso común	El descargador de InvisiMole utiliza el puerto 443 para la comunicación C&C. El complemento DNS de InvisiMole utiliza el puerto 53 para la comunicación C&C.
	T1090	Proxy de conexión	El descargador TCP de InvisiMole puede utilizar servidores proxy configurados por el usuario para la comunicación C&C.
	T1024	Protocolo criptográfico personalizado	Los descargadores TCP y DNS de InvisiMole utilizan un protocolo criptográfico personalizado para cifrar la comunicación de red.
	T1132	Codificación de datos	El descargador DNS de InvisiMole utiliza una variación de la codificación base32 para codificar datos en el subdominio en sus solicitudes.
	T1008	Canales de reserva	Los descargadores TCP y DNS de InvisiMole están configurados con varios servidores C&C.
	T1105	Copia remota de archivos	Los descargadores de TCP y DNS de InvisiMole pueden descargar archivos adicionales para ejecutarlos en el sistema comprometido.
	T1071	Protocolo de capa de aplicación estándar	El descargador DNS de InvisiMole utiliza el protocolo DNS para la comunicación C&C.
	T1095	Protocolo estándar de capa sin aplicación	El descargador TCP de InvisiMole utiliza el protocolo TCP para la comunicación C&C.
	T1065	Puerto poco utilizado	El descargador TCP de InvisiMole utiliza el puerto 1922 para la comunicación C&C.

RC2CL puerta trasera

Táctica	CARNÉ DE IDENTIDAD	Nombre	Descripción
Ejecución	T1059	Interfaz de línea de comandos	La puerta trasera RC2CL puede crear un shell remoto para ejecutar comandos.
	T1106	Ejecución a través de API	Usos de la puerta trasera RC2CL Proceso de creación y CreateProcessAsUser API para ejecutar archivos.
Escalada de privilegios	T1134	Manipulación de tokens de acceso	La puerta trasera RC2CL puede usar CreateProcessAsUser API para iniciar un nuevo proceso en el contexto de otro usuario o proceso.
	T1088	Omitir control de cuenta de usuario	La puerta trasera RC2CL puede deshabilitar y omitir UAC para obtener privilegios elevados.
Evasión de defensa	T1090	Proxy de conexión	La puerta trasera RC2CL se puede configurar como una comunicación de transmisión proxy entre otras computadoras comprometidas y el servidor C&C.
	T1140	Desobuscar / decodificar archivos o información	La puerta trasera RC2CL descifra las cadenas utilizando variaciones de cifrado XOR.
	T1089	Deshabilitar herramientas de seguridad	La puerta trasera RC2CL puede desactivar el firewall de Windows.
	T1107	Eliminación de archivos	La puerta trasera RC2CL puede eliminar artefactos descartados y varios archivos a pedido siguiendo un comando de eliminación. La puerta trasera RC2CL puede eliminar archivos de forma segura para frustrar el análisis forense.
	T1112	Modificar registro	La puerta trasera RC2CL oculta su configuración dentro de las claves de registro.
	T1027	Archivos o información ofuscados	La puerta trasera RC2CL ofusca / encripta cadenas y códigos para dificultar el análisis.
	T1099	Timestomp	La puerta trasera RC2CL modifica las marcas de tiempo de los archivos que crea / modifica.
	T1497	Virtualización / Evasión de Sandbox	La puerta trasera RC2CL puede detectar entornos virtualizados.
Descubrimiento	T1087	Descubrimiento de cuenta	La puerta trasera RC2CL puede enumerar la información de la cuenta y la información de la sesión.
	T1010	Application Window Discovery	La puerta trasera RC2CL puede enumerar información sobre ventanas activas.
	T1083	Descubrimiento de archivos y directorios	La puerta trasera RC2CL puede enumerar archivos, y específicamente archivos abiertos recientemente, y enumerar información sobre unidades mapeadas / no mapeadas.
	T1046	Escaneo de servicios de red	La puerta trasera RC2CL puede escanear la red comprometida en busca de hosts vulnerables a la vulnerabilidad de EternalBlue.
	T1057	Descubrimiento de procesos	La puerta trasera RC2CL puede enumerar los procesos en ejecución.
	T1012	Registro de consultas	RC2CL backdoor puede consultar el registro para obtener información sobre el software instalado, las aplicaciones a las que acceden los usuarios, las aplicaciones ejecutadas en el inicio de sesión del usuario / inicio del sistema, archivos abiertos recientemente,
	T1063	Descubrimiento de software de seguridad	La puerta trasera RC2CL modifica su comportamiento si el firewall de Bitdefender está habilitado o si se detectan procesos AV seleccionados en ejecución.
	T1518	Descubrimiento de software	La puerta trasera RC2CL puede enumerar el software instalado, el software al que han accedido los usuarios recientemente, el software ejecutado en cada inicio de sesión de usuario y / o cada inicio del sistema.
	T1082	Descubrimiento de información del sistema	La puerta trasera RC2CL puede mostrar información sobre los controladores cargados, el nombre de la computadora, la versión del sistema operativo, el estado de la memoria, la hora local, el sistema y la política DEP del proceso.
	T1016	Descubrimiento de configuración de red del sistema	La puerta trasera RC2CL puede listar la tabla IP; información de proxy configurada; información sobre redes inalámbricas habilitadas para la geolocalización de las víctimas.
	T1007	Descubrimiento de servicio del sistema	La puerta trasera RC2CL puede enumerar la información de servicio del sistema.
Colección	T1123	Captura de audio	La puerta trasera RC2CL puede grabar los sonidos de los micrófonos en una computadora. RC2FM hace un mal uso de un lame.dll legítimo para la codificación de MP3 de las grabaciones.
	T1005	Datos del sistema local	La puerta trasera RC2CL puede recopilar datos del sistema y puede monitorear cambios en directorios específicos.
	T1074	Datos organizados	La puerta trasera RC2CL puede almacenar datos recopilados en una ubicación central para una posterior exfiltración.
	T1113	La captura de pantalla	La puerta trasera RC2CL puede capturar capturas de pantalla de la pantalla de la víctima. La puerta trasera RC2CL también puede capturar capturas de pantalla de ventanas separadas.
	T1125	Captura de video	La puerta trasera RC2CL puede acceder a la cámara web de la víctima y capturar fotos / grabar videos.
Comando y control	T1008	Canales de reserva	La puerta trasera RC2CL está configurada con varios servidores C&C. Mediante un comando de puerta trasera, es posible extender la lista y cambiar qué servidor C&C se utiliza.
	T1105	Copia remota de archivos	InvisiMole puede descargar archivos adicionales para ejecutarlos en el sistema comprometido.
	T1065	Puerto poco utilizado	La puerta trasera RC2CL usa el puerto 1922 para la comunicación C&C.
Exfiltración	T1002	Datos comprimidos	La puerta trasera RC2CL puede crear archivos zlib y SFX. Utiliza incorrectamente una copia de la herramienta legítima WinRAR para compresión y descompresión.
	T1022	Datos cifrados	La puerta trasera RC2CL utiliza variaciones de cifrado XOR para cifrar datos.
	T1041	Exfiltración sobre el canal de comando y control	La puerta trasera RC2CL extrae la información recopilada a través de su canal de C&C.

RC2FM puerta trasera

Táctica	CARNÉ DE IDENTIDAD	Nombre	Descripción
Ejecución	T1059	Interfaz de línea de comandos	La puerta trasera RC2FM puede crear un shell remoto para ejecutar comandos.
	T1106	Ejecución a través de API	La puerta trasera RC2FM admite un comando que usa ShellExecute y Proceso de creación API para ejecutar archivos.
Escalada de privilegios	T1088	Omitir control de cuenta de usuario	La puerta trasera RC2FM puede omitir UAC para obtener privilegios elevados.
Evasión de defensa	T1140	Desobuscar / decodificar archivos o información	La puerta trasera RC2FM descifra las cadenas utilizando variaciones de cifrado XOR.
	T1107	Eliminación de archivos	La puerta trasera RC2FM puede eliminar artefactos descartados y varios archivos a pedido siguiendo un comando de eliminación.
	T1143	Ventana oculta	La puerta trasera RC2FM utiliza el indicador de creación CREATE_NO_WINDOW para ejecutar malware en una ventana oculta.
	T1112	Modificar registro	La puerta trasera RC2FM oculta su configuración dentro de las claves de registro.
	T1027	Archivos o información ofuscados	La puerta trasera RC2FM ofusca / encripta cadenas y código para dificultar el análisis.
	T1055	Inyección de proceso	La puerta trasera RC2FM puede inyectarse en ctfmon.exe , dwm.exe , sihost.exe y taskhost.exe procesos.
	T1085	Rundll32	La puerta trasera RC2FM usa rundll32.exe para cargar una DLL de código auxiliar en la que luego se inyecta.
	T1099	Marca de tiempo	La puerta trasera RC2FM modifica las marcas de tiempo de los archivos que crea / modifica.
	T1497	Virtualización / Evasión de Sandbox	La puerta trasera RC2FM puede detectar entornos virtualizados.
Descubrimiento	T1083	Descubrimiento de archivos y directorios	La puerta trasera RC2FM recopila información sobre unidades mapeadas. Puede enumerar archivos en una carpeta específica.
	T1135	Descubrimiento de redes compartidas	La puerta trasera RC2FM puede enumerar los recursos compartidos de red conectados.
	T1057	Descubrimiento de procesos	La puerta trasera RC2FM puede enumerar los procesos en ejecución.
	T1082	Descubrimiento de información del sistema	La puerta trasera RC2FM recopila el nombre de la computadora y el número de serie del volumen del sistema.
	T1016	Descubrimiento de configuración de red del sistema	La puerta trasera RC2FM enumera información sobre servidores proxy configurados.
Colección	T1123	Captura de audio	La puerta trasera RC2FM puede grabar los sonidos de los micrófonos en una computadora. Utiliza incorrectamente un lame.dll legítimo para la codificación MP3 de las grabaciones.
	T1025	Datos de medios extraíbles	La puerta trasera RC2FM puede recopilar archivos jpeg de dispositivos MTP conectados.
	T1056	Captura de entrada	La puerta trasera RC2FM puede recolectar pulsaciones de teclas.
	T1113	La captura de pantalla	La puerta trasera RC2FM puede capturar capturas de pantalla de la pantalla de la víctima.
Comando y control	T1043	Puerto de uso común	La puerta trasera RC2FM usa el puerto 80 para la comunicación C&C.
	T1090	Proxy de conexión	La puerta trasera RC2FM puede usar proxies configurados en el sistema local, para varios navegadores instalados y portátiles, si falla la conexión directa al servidor C&C.
	T1008	Canales de reserva	La puerta trasera RC2FM está configurada con varios servidores C&C. Es posible actualizar el servidor C&C mediante un comando de puerta trasera.
	T1105	Copia remota de archivos	InvisiMole puede descargar archivos adicionales para ejecutarlos en el sistema comprometido.
	T1071	Protocolo de capa de aplicación estándar	La puerta trasera RC2FM usa HTTP para la comunicación C&C.
Exfiltración	T1022	Datos cifrados	La puerta trasera RC2FM utiliza variaciones de cifrado XOR para cifrar datos.
	T1041	Exfiltración sobre el canal de comando y control	La puerta trasera RC2FM extrae la información recopilada a través de su canal de C&C.

Zuzana Hromcová y Anton Cherepanov 18 junio 2020-11: 30 AM