Recientes investigaciones revelan un incremento en el uso indebido del framework Velociraptor. Este es un software de código abierto destinado a la forense digital e investigación de incidentes. Sin embargo, los atacantes lo están utilizando para fines maliciosos.
Metodología empleada por los actores maliciosos
Los atacantes utilizan el comando msiexec para desplegar Velociraptor en sistemas comprometidos. Tras instalar Velociraptor, descargan y ejecutan Visual Studio Code junto a una extensión de túnel. Establecen conexiones hacia un servidor de mando y control (C2) alojado en una infraestructura basada en Cloudflare Workers.
Riesgos asociados al abuso del framework
El abuso permite acceso remoto persistente sin señal de alerta. También facilita la recolección silenciosa de credenciales, configuraciones y logs. Además, permite capacidad de escalada y apoyo en incidentes de ransomware.
Evasión de defensas mediante el uso legítimo
El abuso evita defensas basadas en firmas al camuflarse como herramienta legítima. Muchas aplicaciones de seguridad no detectan como malicioso el uso de Velociraptor debido a que se trata de software válido.
Mitigaciones recomendadas
- Inventariar y validar las herramientas forenses realmente autorizadas en los endpoints.
- Alertar e investigar el uso inesperado de software como Velociraptor.
- Restringir la capacidad de instalación de software a personal autorizado.
- Realizar auditorías periódicas en estaciones y servidores para detectar agentes no previstos.
- Incorporar inteligencia de amenazas activa que considere el abuso de herramientas legítimas como vectores avanzados.