Una nueva campaña de phishing está utilizando mensajes de Microsoft Teams para entregar archivos adjuntos maliciosos que instalan el malware DarkGate Loader. La campaña comenzó a finales de agosto de 2023, cuando se observó que dos cuentas externas comprometidas de Office 365 enviaban mensajes de phishing falsos a otras organizaciones.
Metodología del ataque
Estas cuentas se utilizaron para engañar a otros usuarios de Microsoft Teams, induciéndolos a descarguen y abran un archivo ZIP llamado «Changes to the vacation schedule.zip». Al hacer clic en el archivo adjunto, se activa la descarga del ZIP desde una URL de SharePoint. El contenido incluye un archivo LNK disfrazado de documento PDF.
Los investigadores de Truesec analizaron la campaña y descubrieron que contiene VBScript malicioso que desencadena la cadena de infección, conduciendo a una carga útil identificada como DarkGate Loader. Para intentar evadir la detección, el proceso de descarga utiliza Windows cURL para recuperar los archivos ejecutables y de script del malware.
El código shell utiliza una técnica llamada «stacked strings» para construir el ejecutable DarkGate de Windows y cargarlo en la memoria.
Phishing en equipos de Microsoft
La campaña vista por Truesec y Deutsche Telekom CERT utiliza cuentas de Microsoft Teams comprometidas para enviar archivos adjuntos maliciosos a otras organizaciones de Teams. Este tipo de ataque fue previamente demostrado en un informe de junio de 2023 de Jumpsec, quien descubrió una forma de enviar mensajes maliciosos a otras organizaciones mediante phishing e ingeniería social.
A pesar del revuelo causado por este descubrimiento, Microsoft decidió no abordar el riesgo. En su lugar, recomienda que los administradores apliquen configuraciones seguras, como listas de permitidos de alcance limitado, y deshabiliten el acceso externo si no es necesaria la comunicación con externos.
Analizando los archivos maliciosos
El archivo ZIP contiene un archivo LNK malicioso que se hace pasar por un documento PDF: «Cambios en el calendario de vacaciones.pdf.lnk». Usando «LECmd.exe» de Eric Zimmerman para analizar el archivo LNK, es posible extraer la línea de comando que se ejecutaría al abrirlo.
La ejecución del archivo VBScript desencadena la descarga y ejecución del archivo hxxp:// 5[.]188[.]87[.]58:2351/wbzadczl. Los comandos utilizan una versión de Windows de cURL para descargar y ejecutar Autoit3 y el script incluido eszexz.au3.
El script llegó precompilado, ocultando su código malicioso en medio del archivo. Antes de continuar, el script comprueba si el software antivirus de Sophos está instalado en la máquina de destino y, si no lo está, desofusca el código adicional e inicia el shellcode.
Se abre DarkGate
DarkGate ha estado circulando desde 2017 y ha tenido un uso limitado por parte de un pequeño círculo de ciberdelincuentes que lo utilizaron contra objetivos muy específicos.
Es un potente malware que admite una amplia gama de actividades maliciosas, incluido hVNC para acceso remoto, minería de criptomonedas, shell inverso, registro de teclas, robo de portapapeles y robo de información (archivos, datos del navegador).
En junio de 2023, ZeroFox informó que alguien que afirmaba ser el autor original de DarkGate intentó vender el acceso al malware a diez personas por el absurdo coste de 100.000 dólares al año. En los meses siguientes, ha habido múltiples informes sobre el aumento de la distribución de DarkGate y el uso de varios canales, incluidos el phishing y la publicidad maliciosa.
Si bien es posible que DarkGate aún no sea una amenaza generalizada, su creciente focalización y adopción de múltiples vías de infección lo convierten en una amenaza emergente que debemos monitorear de cerca.