Deadglyph: Nueva puerta trasera avanzada con tácticas de malware distintivas

Investigadores de ciberseguridad han descubierto una puerta trasera avanzada previamente no documentada, denominada Deadglyph, utilizada por un actor de amenazas conocido como Stealth Falcon como parte de una campaña de espionaje cibernético.

"La arquitectura de Deadglyph es inusual ya que consta de componentes que cooperan entre sí, uno de ellos es un binario nativo x64 y el otro una compilación .NET", dijo ESET en un nuevo informe compartido con The Hacker News.

"Esta combinación es inusual porque el malware suele utilizar solo un lenguaje de programación para sus componentes. Esta diferencia podría indicar un desarrollo separado de esos dos componentes, aprovechando al mismo tiempo características únicas de los distintos lenguajes de programación que utilizan".

También se sospecha que el uso de diferentes lenguajes de programación es una táctica deliberada para dificultar el análisis, lo que hace que sea mucho más difícil de navegar y depurar.

A diferencia de otras puertas traseras tradicionales de su tipo, los comandos son recibidos de un servidor controlado por el actor en forma de módulos adicionales que le permiten crear nuevos procesos, leer archivos y recopilar información de los sistemas comprometidos.

Stealth Falcon (también conocido como FruityArmor) fue expuesto por primera vez por Citizen Lab en 2016, relacionándolo con una serie de ataques de spyware dirigidos en Oriente Medio dirigidos a periodistas, activistas y disidentes en los Emiratos Árabes Unidos, utilizando señuelos de spear-phishing que incrustaban enlaces con documentos cargados de macros para entregar un implante personalizado capaz de ejecutar comandos arbitrarios.

Una investigación posterior realizada por Reuters en 2019 reveló una operación clandestina llamada Project Raven que involucraba a un grupo de ex operativos de inteligencia de Estados Unidos que fueron reclutados por una empresa de ciberseguridad llamada DarkMatter para espiar a objetivos críticos de la monarquía árabe.

Se cree que Stealth Falcon y Project Raven son el mismo grupo debido a las similitudes en tácticas y objetivos.

Desde entonces, el grupo ha sido vinculado con la explotación de vulnerabilidades de día cero de Windows, como CVE-2018-8611 y CVE-2019-0797, con Mandiant señalando en abril de 2020 que el actor de espionaje "utilizó más vulnerabilidades de día cero que cualquier otro grupo" de 2016 a 2019.

Alrededor del mismo tiempo, ESET detalló el uso por parte del adversario de una puerta trasera llamada Win32/StealthFalcon que se descubrió que utiliza el Servicio de Transferencia Inteligente en Segundo Plano de Windows (BITS) para comunicaciones de comando y control (C2) y para obtener control completo de un punto final.

Según la firma de ciberseguridad eslovaca, Deadglyph es la última incorporación al arsenal de Stealth Falcon, analizada tras una intrusión en una entidad gubernamental sin nombre en Oriente Medio.

El método exacto utilizado para entregar el implante actualmente es desconocido, pero el componente inicial que activa su ejecución es un cargador de shellcode que extrae y carga el shellcode del Registro de Windows, que posteriormente inicia el módulo nativo x64 de Deadglyph, conocido como el Executor.

El Executor procede luego a cargar un componente .NET conocido como el Orquestador que, a su vez, se comunica con el servidor de comando y control (C2) para esperar más instrucciones. El malware también realiza una serie de maniobras evasivas para pasar desapercibido, incluida la capacidad de desinstalarse a sí mismo.

Los comandos recibidos del servidor se encolan para su ejecución y pueden caer en una de tres categorías: tareas de Orquestador, tareas de Executor y tareas de Carga.

"Las tareas de Executor ofrecen la capacidad de gestionar la puerta trasera y ejecutar módulos adicionales", dijo ESET. "Las tareas de Orquestador ofrecen la capacidad de gestionar la configuración de los módulos de Red y Temporizador, y también de cancelar tareas pendientes".

Algunas de las tareas de Executor identificadas comprenden la creación de procesos, el acceso a archivos y la recopilación de metadatos del sistema. El módulo de Temporizador se utiliza para consultar periódicamente el servidor C2 en combinación con el módulo de Red, que implementa las comunicaciones C2 mediante solicitudes POST de HTTPS.

Las tareas de Carga, como su nombre indica, permiten a la puerta trasera cargar la salida de comandos y errores.

ESET también dijo que identificó un archivo de panel de control (CPL) que se cargó en VirusTotal desde Qatar, que se dice que funcionó como punto de partida para una cadena de múltiples etapas que allana el camino para un descargador de shellcode que comparte algunas similitudes de código con Deadglyph.

Si bien la naturaleza del shellcode recuperado del servidor C2 sigue siendo poco clara, se ha teorizado que su contenido podría servir potencialmente como instalador del malware Deadglyph.

Deadglyph recibe su nombre de los artefactos encontrados en la puerta trasera (identificaciones hexadecimales 0xDEADB001 y 0xDEADB101 para el módulo de Temporizador y su configuración), junto con la presencia de un ataque de homoglifos que suplanta a Microsoft ("Ϻicrоsоft Corpоratiоn") en el recurso VERSIONINFO del cargador de shellcode del Registro.

"Deadglyph cuenta con una variedad de mecanismos de contradetección, incluido el monitoreo continuo de los procesos del sistema y la implementación de patrones de red aleatorios", dijo la compañía. "Además, la puerta trasera es capaz de desinstalarse a sí misma para minimizar la probabilidad de su detección en ciertos casos."

Fuente y créditos: Deadglyph: New Advanced Backdoor with Distinctive Malware Tactics (thehackernews.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.