Un equipo de investigación ha descubierto una campaña de malware sofisticada en la que el administrador de contraseñas de código abierto KeePass fue troyanizado con fines maliciosos. El ataque permitió a los actores maliciosos distribuir cargas útiles de Cobalt Strike y exfiltrar credenciales confidenciales.
El instalador comprometido
El instalador troyanizado, identificado como KeePass-2.56-Setup.exe, se distribuye mediante campañas de publicidad maliciosa que incitaban a los usuarios a descargarlo desde dominios falsos similares al oficial. El ejecutable estaba firmado con certificados válidos e imitaba el comportamiento del instalador real, lo que dificultó su detección.
Funcionamiento del malware
Una vez ejecutado, el malware (denominado KeeLoader por WithSecure) agrega dos ejecutables modificados (KeePass.exe y ShInstUtil.exe) en el directorio del usuario. También configura un mecanismo de persistencia basado en el registro. Un archivo malicioso (db.idx, cifrado y enmascarado como JPG) se descifra en memoria mediante un cargador personalizado y se ejecuta como una baliza de Cobalt Strike.
Robo de credenciales
Aunque KeePass parecía funcionar con normalidad, registraba secretamente las credenciales de la base de datos y las exportaba a archivos .kp. La información de la cuenta, el nombre de usuario, la contraseña, el sitio web y los comentarios también se exporta en formato CSV bajo %localappdata% como <RANDOM_INTEGER>.kp.
Infraestructura del ataque
- Dominios falsos de KeePass, como keeppaswrd[.]com, keegass[.]com, KeePass[.]me y lvshilc[.].com (aún activos).
- Malvertising a través de anuncios de búsqueda de Bing y DuckDuckGo.
- Cadenas de redireccionamiento a través de múltiples dominios falsos.
- Certificados SSL de proveedores como NameCheap, que imitaban la firma legítima de KeePass.
Evolución y complejidad de la campaña
La campaña evolucionó en varias versiones, con un sigilo y una complejidad cada vez mayores. Los binarios creados son casi idénticos a las versiones legítimas; la funcionalidad maliciosa solo se manifestará al abrir una base de datos de contraseñas.
Atribución del ataque
La atribución sigue siendo compleja debido al uso de Loader-as-a-Service y Bulletproof Hosting. WithSecure encontró marcas de agua superpuestas de Cobalt Strike vinculadas a grupos de ransomware como Black Basta y BlackCat. La nota de rescate se parecía a la del ransomware Akira, pero incluía contacto por correo electrónico, lo que sugiere un posible intento de actuar en solitario por parte de un antiguo afiliado.
WithSecure concluye que la campaña probablemente fue orquestada por un agente de acceso inicial con amplios recursos que opera dentro del ecosistema del ransomware.
Se insta a las organizaciones a verificar los hashes antes de la instalación, evitar las fuentes de descarga no oficiales y supervisar de cerca el comportamiento del software, incluso en aplicaciones conocidas.