El grupo de ciberdelincuentes Lazarus, respaldado por el estado de Corea del Norte, ha comenzado a atacar servidores web basados en Internet Information Services (IIS) de Windows con la intención de obtener acceso inicial a las redes corporativas. Esta táctica fue descubierta por investigadores de Corea del Sur en el Centro de Respuesta a Emergencias de Seguridad AhnLab (ASEC).
Secuestro de DLL como técnica de ataque
El secuestro de DLL es una técnica utilizada por actores maliciosos para crear un archivo malicioso con el mismo nombre que una biblioteca legítima y colocarlo en la ruta de búsqueda inicial de Windows. Al iniciar un programa, se carga primero la DLL ubicada en la misma carpeta del ejecutable, lo cual permite que el malware se ejecute sin ser detectado.
Los atacantes de Lazarus emplean esta técnica para implantar malware en servidores IIS. Para ello, colocan archivos como Wordconv.exe, una DLL maliciosa llamada msvcr100.dll y un archivo codificado denominado msvcr100.dat en la misma carpeta que el ejecutable. Al iniciar Wordconv.exe, se descifra el contenido de msvcr100.dat con el algoritmo Salsa20 y se ejecuta en la memoria, evitando su detección por antivirus.
Actividades del grupo Lazarus
Lazarus tiene una motivación principalmente financiera. Muchos analistas creen que sus actividades maliciosas ayudan a financiar los programas de desarrollo de armas de Corea del Norte, aunque también ha estado involucrado en operaciones de espionaje.
ASEC encontró similitudes entre msvcr100.dll y otro malware observado el año anterior llamado cylvc.dll, utilizado por Lazarus para deshabilitar programas anti-malware. Por lo tanto, considera que el archivo DLL descubierto es una nueva variante del mismo malware.
En la segunda fase del ataque, Lazarus crea un segundo malware llamado diagn.dll, explotando un complemento de Notepad++. Este malware recibe una carga útil cifrada con RC6, que se descifra y ejecuta en la memoria para evitar su detección. ASEC no pudo determinar qué hace esta carga útil, pero hay signos de descarga de LSASS que apuntan a actividades de robos de credenciales.
El paso final del ataque consistió en realizar reconocimiento de red y movimiento lateral a través del puerto 3389 (Escritorio Remoto) utilizando credenciales de usuario válidas, probablemente robadas durante el proceso anterior. Dado que Lazarus depende en gran medida de la técnica de carga lateral de DLL como parte de sus ataques, ASEC recomienda que las organizaciones controlen la ejecución de procesos anormales.
QBot y secuestro de DLL
La operación de malware QBot/Qakbot ha comenzado a abusar de una vulnerabilidad de secuestro de DLL en el programa WordPad de Windows 10 para infectar dispositivos, utilizando el programa legítimo para evadir la detección por parte del software de seguridad.
QBot es un malware de Windows que inicialmente comenzó como un troyano bancario pero evolucionó hasta convertirse en un dropper de otros tipos de malware. Pandillas de ransomware, incluidas Black Basta, Egregor y Prolock, se han asociado con la operación de malware para obtener acceso inicial a las redes corporativas.
El investigador ProxyLife indicó que una nueva campaña de phishing de QBot abusa de una vulnerabilidad de secuestro de DLL en el ejecutable write.exe de WordPad. Al hacer clic en un enlace recibido por correo, se descarga un archivo ZIP con dos archivos: document.exe, que es una copia renombrada del ejecutable original de WordPad, y un archivo DLL llamado edputil.dll.
Cuando se inicia document.exe, intenta cargar la DLL legítima edputil.dll, pero si no encuentra el archivo en una carpeta específica, carga cualquier DLL del mismo nombre que se encuentre en la misma carpeta. Esto permite a los actores de amenazas realizar el secuestro de DLL al crear una versión maliciosa de la DLL y almacenarla junto con document.exe.
Una vez cargada la DLL, el malware utiliza C:\Windows\system32\curl.exe para descargar una DLL camuflada como un archivo PNG desde un host remoto. Este archivo se ejecuta mediante rundll32.exe con el siguiente comando:
rundll32 c:\users\public\default.png,printQBot ahora se ejecutará silenciosamente en segundo plano, robando correos electrónicos para usarlos en más ataques de phishing y eventualmente descargando otras cargas útiles, como Cobalt Strike.