Una campaña de ciberamenazas ha aprovechado la plataforma Microsoft Teams como vector para distribuir el malware conocido como DarkGate. Los actores del ataque han utilizado estrategias que incluyen bombardeo de correos electrónicos, contacto a través de la herramienta Teams y la instalación de una aplicación de acceso remoto.
Estrategia de ataque
Los ciberatacantes intentaron instalar una aplicación oficial de soporte remoto de Microsoft, pero lograron que la víctima instalase AnyDesk. El ataque siguió un enfoque de múltiples etapas: bombardeo de correos electrónicos, contacto a través de Microsoft Teams y instalación de AnyDesk.
Características del malware DarkGate
DarkGate es un troyano de acceso remoto (RAT) que ha evolucionado hacia un modelo de malware como servicio (MaaS), con una base de clientes estrictamente controlada. Se distribuye mediante scripts AutoIt y AutoHotKey. En el incidente documentado, el malware fue desplegado a través de un script AutoIt.
Proceso de ejecución del ataque
La ejecución de AnyDesk.exe se observaron segundos después de descargar la aplicación. El comando ejecutado fue: "C:\Users\\Downloads\AnyDesk.exe" --local-service.
Pocos minutos después, cmd.exe fue llamado para ejecutar rundll32.exe para cargar SafeStore.dll.
La ejecución de SafeStore.dll, originalmente llamado epaas_client.dll, solicita un formulario de inicio de sesión. Conforme se ejecutaba el formulario, así mismo se ejecutaban varios comandos maliciosos en segundo plano, aun si el usuario no había introducido las credenciales.
Comandos utilizados durante la fase de exploración
- cmd /c systeminfo: Comando que proporciona información detallada sobre la configuración del sistema operativo, la versión, especificaciones de hardware, memoria, detalles del adaptador de red y el tiempo de actividad del sistema.
- cmd /c route print: Comando que proporciona la tabla de enrutamiento de red actual, mostrando cómo se dirige el tráfico de red a diferentes destinos según la configuración de red del sistema.
- cmd /c ipconfig /all: Comando que proporciona información detallada sobre todas las interfaces de red del sistema, incluyendo direcciones IP, máscaras de subred, puertas de enlace, servidores DNS y otros detalles de configuración de red.
Distribución del malware
El archivo ejecutable SystemCert.exe (SHA256: 4e291266399bd8db27da0f0913c041134657f3b1cf45f340263444c050ed3ee1) se ejecutó y creó script.a3x y Autoit3.exe en el directorio C:\Temp\test\. El script malicioso script.a3x se ejecuta mediante el comando cmd "C:\temp\test\AutoIt3.exe C:\temp\test\script.a3 nad".
El script se descifra a sí mismo en la memoria como shellcode y se inyecta en procesos remotos. Este proceso se utiliza como proxy para cargar y ejecutar el script DarkGate en la memoria.
Riesgos asociados al ataque
- Robo de credenciales.
- Registro de pulsaciones de teclas.
- Captura de pantalla.
- Grabación de audio.
- Control remoto del escritorio.
Mitigaciones recomendadas
- Habilitar autenticación multifactor (MFA).
- Límite el uso de herramientas de acceso remoto a una lista aprobada.
- Bloquear la instalación de aplicaciones no verificadas.
- Auditar rigurosamente a proveedores externos de soporte técnico.
- Concienciar a los empleados sobre tácticas de vishing y phishing.