Grupos de ransomware y actores de amenazas están utilizando técnicas de «vivir fuera de la tierra» para establecer túneles SOCKS entre sus servidores C2 y el entorno comprometido. Estas técnicas incluyen el uso de herramientas nativas como SSH.
Exploit en dispositivos ESXi
Los investigadores de Sygnia, Aaron (Zhongyuan) Hau y Ren Jie Yow, señalaron que los dispositivos ESXi, no monitoreados, se explotan cada vez más como un mecanismo de persistencia y una puerta de acceso para acceder a las redes corporativas. La idea es mezclar datos exfiltrados con el tráfico legítimo y establecer una persistencia a largo plazo en la red comprometida con poca o ninguna detección por parte de los controles de seguridad.
Según Sygnia, en muchos incidentes analizados, los sistemas ESXi se vieron comprometidos mediante el uso de credenciales de administrador o aprovechando una vulnerabilidad de seguridad conocida para eludir las protecciones de autenticación. Posteriormente, los actores de la amenaza configuraban un túnel utilizando SSH u otras herramientas con funcionalidad equivalente.
Los investigadores destacaron que los dispositivos ESXi son resistentes y rara vez se apagan inesperadamente, lo que hace que el túnel funcioné como una puerta trasera semipersistente dentro de la red.
Supervisión de registros
Sygnia también ha destacado los desafíos para supervisar los registros de ESXi. Se recomienda configurar el reenvío de registros para capturar todos los eventos relevantes en un solo lugar para las investigaciones forenses.
Para detectar ataques que impliquen el uso de túneles SSH en dispositivos ESXi, se ha recomendado a las organizaciones revisar los siguientes archivos de registro:
- /var/log/shell.log (ESXi shell activity log)
- /var/log/hostd.log (Host agent log)
- /var/log/auth.log (authentication log)
- /var/log/vobd.log (VMware observer daemon log)
Secuestro de RID
AhnLab detalló un ataque montado por el grupo Andariel, vinculado a Corea del Norte, que implica el uso de una técnica conocida como secuestro de Relative Identifier (RID) para modificar de forma encubierta el Registro de Windows y asignar permisos administrativos durante el siguiente inicio de sesión.
El método de persistencia RID es engañoso, ya que aprovecha el hecho de que las cuentas normales no están sujetas al mismo nivel de vigilancia que la cuenta de administrador. Sin embargo, para realizar el secuestro de RID, el adversario debe haber comprometido una máquina y obtenido privilegios administrativos o de SYSTEM.
Evadir EDR mediante hardware
También se descubrió que se podría aprovechar un enfoque basado en puntos de interrupción de hardware para evitar las detecciones de Event Tracing for Windows (ETW), que proporciona un mecanismo para registrar eventos generados por aplicaciones en modo usuario y controladores en modo kernel.
Esto implica utilizar una función nativa de Windows llamada NtContinue, en lugar de SetThreadContext, para configurar registros de depuración y evitar la activación del registro ETW y los eventos analizados por los EDR para marcar la actividad sospechosa.