Desenterrando el arsenal oculto de InvisiMole

En nuestro seguimiento del grupo InvisiMole, que nosotros redescubierto y reportado por primera vez en 2018, hemos encontrado una nueva campaña dirigida a organizaciones de alto perfil en Europa del Este. Al investigar los ataques, en estrecha colaboración con las organizaciones afectadas, descubrimos su conjunto de herramientas actualizado y detalles previamente desconocidos sobre las tácticas, técnicas y procedimientos (TTP) de InvisiMole.

En esta publicación de blog, resumimos los hallazgos publicados en su totalidad en nuestro libro blanco, InvisiMole: la parte oculta de la historia.

El grupo InvisiMole es un actor de amenazas que opera al menos desde 2013. Anteriormente documentamos sus dos puertas traseras, RC2CL y RC2FM, notables por sus amplias capacidades de espionaje, pero no sabíamos cómo estas puertas traseras se distribuyeron, distribuyeron o instalaron en el sistema.

En esta reciente campaña, el grupo InvisiMole ha resurgido con un conjunto de herramientas actualizado, dirigido a un pequeño número de organizaciones de alto perfil en el sector militar y misiones diplomáticas, ambas en Europa del Este. Según nuestra telemetría, los intentos de ataque continuaron desde finales de 2019 hasta el momento de escribir este informe.

Gracias a la investigación de los ataques en cooperación con las organizaciones afectadas, pudimos exponer el funcionamiento interno del conjunto de herramientas actualizado InvisiMole.

Descubrimos que el arsenal de InvisiMole solo se desata después de que otro grupo de amenazas, Gamaredon, ya se ha infiltrado en la red de interés y posiblemente ha obtenido privilegios administrativos. Esto permite que el grupo InvisiMole idee formas creativas de operar bajo el radar.

Por ejemplo, los atacantes usan cadenas de ejecución largas, diseñadas combinando código malicioso con herramientas legítimas y ejecutables vulnerables. Utilizan túneles DNS para comunicaciones C&C más sigilosas y colocan barreras de ejecución en los componentes maliciosos para ocultar el malware de los investigadores de seguridad.

Mecanismo de entrega

Durante nuestra investigación, descubrimos que InvisiMole es entregado a los sistemas comprometidos por un descargador .NET detectado por los productos de ESET como MSIL / Pterodo, el trabajo del grupo Gamaredon. Gamaredon es un actor de amenazas, operando al menos desde 2013, caracterizado por un rápido desarrollo y haciendo pocos esfuerzos para mantenerse bajo el radar. Nosotros recientemente documentado los nuevos componentes Gamaredon, distribuido a través de correos electrónicos de spearphishing y utilizado para moverse lateralmente lo más lejos posible dentro de la red del objetivo, mientras se toman las huellas digitales de las máquinas.

Nuestra investigación ahora muestra que Gamaredon se utiliza para allanar el camino para una carga útil mucho más sigilosa: según nuestra telemetría, un pequeño número de objetivos de Gamaredon se "actualizan" al malware avanzado InvisiMole, probablemente aquellos considerados particularmente significativos por los atacantes.

Figura 1. El descargador .NET de Gamaredon puede "actualizar" la máquina de la víctima al descargador TCP de InvisiMole

Como detallamos en el libro blanco, a pesar de la evidencia de colaboración, consideramos que Gamaredon e InvisiMole son dos grupos distintos con TTP diferentes, en lugar de un solo actor de amenaza.

Mecanismos de difusión y actualización.

Documentamos tres formas en que InvisiMole se propaga dentro de redes comprometidas:

• Utilizando el BlueKeep vulnerabilidad en el protocolo RDP (CVE-2019-0708)
• Utilizando el EternoAzul vulnerabilidad en el protocolo SMB (CVE-2017-0144)
• Utilizando documentos troyanizados e instaladores de software, creados con archivos benignos robados de la organización comprometida.

Para crear los archivos trojanizados, InvisiMole primero roba documentos o instaladores de software de la organización comprometida, y luego crea un archivo SFX que agrupa el archivo con el instalador InvisiMole. El archivo original se reemplaza con la versión armada, mientras se conservan su nombre, icono y metadatos. Los atacantes confían en los usuarios para compartir y ejecutar estos archivos.

Esta técnica de movimiento lateral es especialmente poderosa si el archivo trojanizado es un instalador de software ubicado en un servidor central, una forma común de implementar software en organizaciones más grandes. De esa manera, InvisiMole se distribuye orgánicamente a muchas computadoras que usan este servidor.

Independientemente del método de propagación, el primer componente de InvisiMole implementado en las máquinas recién comprometidas siempre es el descargador TCP de InvisiMole, una simple adición al conjunto de herramientas que descarga la siguiente etapa de la infiltración.

La segunda adición al conjunto de herramientas actualizado de InvisiMole, el descargador de DNS, tiene la misma funcionalidad pero está diseñado para el acceso encubierto a largo plazo a la máquina. Utiliza un método más sigiloso de comunicación C&C, utilizando una técnica llamada Túnel de DNS (ver Figura 2).

Figura 2. Túnel de DNS

Con el túnel DNS, el cliente comprometido no contacta directamente con el servidor de C&C; solo se comunica con los servidores DNS benignos con los que la máquina víctima normalmente se comunicaría, donde envía solicitudes para resolver un dominio a su dirección IP. El servidor DNS luego contacta al servidor de nombres responsable del dominio en la solicitud, que es un servidor de nombres controlado por el atacante, y transmite su respuesta al cliente.

La comunicación real de C&C está incrustada en las solicitudes y respuestas de DNS, sin el conocimiento del servidor DNS benigno que opera como intermediario en la comunicación.

Cadenas de ejecución

La característica más notable del nuevo conjunto de herramientas InvisiMole son sus largas cadenas de ejecución, que se utilizan para implementar las cargas útiles finales: las puertas traseras RC2CM y RC2CL actualizadas, y los nuevos descargadores TCP y DNS.

Reconstruimos cuatro cadenas de ejecución, utilizadas por los atacantes en diversas situaciones, en función de la versión del sistema operativo de la computadora de la víctima y de si podían obtener privilegios administrativos en el sistema:

• los Cadena de mal uso del panel de control utiliza una técnica poco común conocida por las filtraciones de Vault 7, utilizada para lograr la ejecución encubierta en el contexto del Panel de control.
• los Cadena de explotación SMInit explota una vulnerabilidad en el legítimo software Total Video Player. Se utiliza en casos en que los atacantes no han logrado obtener privilegios administrativos en el sistema.
• los Cadena de explotación Speedfan explota una vulnerabilidad de escalada de privilegios locales en el speedfan.sys controlador para inyectar su código a un proceso confiable desde el modo kernel.
• los Cadena de exploits Wdigest es la cadena insignia de InvisiMole, la más elaborada, utilizada en las versiones más recientes de Windows, donde los atacantes tienen privilegios administrativos. Explota una vulnerabilidad en Windows wdigest.dll biblioteca y luego utiliza un mejorado ListPlanting técnica para inyectar su código en un proceso confiable.

InvisiMole introduce todos los ejecutables vulnerables utilizados en estas cadenas; la variación de esta técnica con un controlador vulnerable se ha denominado anteriormente Traiga su propio conductor vulnerable por colegas investigadores. Para los otros casos, hemos llamado la técnica Traiga su propio software vulnerable.

Documentamos estas tácticas en detalle en el Cadenas de ejecución sección de nuestro libro blanco.

Figura 3. Las cadenas de ejecución de InvisiMole; los candados indican el uso del cifrado por máquina

Observe el uso intensivo de herramientas legítimas y el cifrado por víctima, que se muestra en la descripción general de estas cuatro cadenas en la Figura 3. Es la táctica de los operadores de InvisiMole instalar exclusivamente herramientas legítimas y reservar las cargas maliciosas para etapas posteriores.

Para colocar barandas de ejecución y encriptar las cargas útiles individualmente por víctima, InvisiMole utiliza una función de Windows llamada API de protección de datos (DPAPI), específicamente:

• la CryptProtectData API para encriptación de datos
• la CryptUnprotectData API para descifrado de datos

Este esquema de cifrado simétrico utiliza una clave derivada de los secretos de inicio de sesión del usuario, por lo que el descifrado debe realizarse en la misma computadora donde se cifraron los datos.

La Figura 4 muestra un fragmento de un cargador InvisiMol típico que utiliza CryptUnprotectData para descifrar y luego comprueba si el blob descifrado comienza con un valor mágico característico InvisiMole de cuatro bytes:

• 64 DA 11 CE para cargas útiles de 64 bits
• 86 DA 11 CE para cargas útiles de 32 bits

Figura 4. Fragmento de un cargador InvisiMole característico

InvisiMole abusa de la función DPAPI, destinada al almacenamiento local de credenciales como contraseñas de Wi-Fi o contraseñas de inicio de sesión en navegadores web, para proteger su carga de los investigadores de seguridad. Incluso si encuentran los componentes de InvisiMole en telemetría o en plataformas de intercambio de malware, no pueden descifrarlos fuera de la computadora de la víctima.

Sin embargo, gracias a la cooperación directa con las organizaciones afectadas, pudimos recuperar las cargas útiles y reconstruir cuatro de las cadenas de ejecución de InvisiMole, que se describen en detalle en el documento técnico.

Conclusión

Cuando informamos por primera vez sobre InvisiMole en 2018, destacamos su funcionamiento encubierto y su compleja gama de capacidades. Sin embargo, faltaba una gran parte de la imagen.

Después de descubrir una nueva actividad a fines de 2019, tuvimos la oportunidad de echar un vistazo adecuado bajo el capó de las operaciones de InvisiMole y reconstruir las partes ocultas de la historia. Analizando el conjunto de herramientas actualizado del grupo, observamos un desarrollo continuo y mejoras sustanciales, con especial énfasis en permanecer fuera del radar.

Nuestra investigación también reveló una cooperación previamente desconocida entre InvisiMole y el grupo Gamaredon, con el malware de Gamaredon utilizado para infiltrarse en la red objetivo y entregar el sofisticado malware InvisiMole a objetivos de especial interés.

Después de proporcionar un informe detallado sobre los TTP de InvisiMole, continuaremos rastreando las actividades maliciosas del grupo.

Los nombres de detección de ESET y otros indicadores de compromiso para estas campañas se pueden encontrar en el documento técnico completo, InvisiMole: la parte oculta de la historia.

Agradecimientos a otros investigadores de malware de ESET Matthieu FaouLadislav Janko y Michal Poslušný por su trabajo en esta investigación.

Técnicas MITRE ATT y CK

Nota: Para una mejor legibilidad, hemos separado las puertas traseras RC2FM y RC2CL en sus respectivas tablas de mapeo ATT y CK, debido a sus ricas capacidades. El primer mapeo se refiere a los componentes de soporte de InvisiMole utilizados para la entrega, el movimiento lateral, las cadenas de ejecución y para descargar cargas útiles adicionales.

InvisiMole

RC2CL puerta trasera

RC2FM puerta trasera

Zuzana Hromcová y Anton Cherepanov 18 junio 2020-11: 30 AM