A pesar de que agosto es, posiblemente, el mes con menor actividad empresarial en España los delincuentes no cesan en su empeño de conseguir nuevas víctimas. Buena prueba de ello es una campaña protagonizada por la amenaza Snake Keylogger que venimos observando desde el inicio de semana y que está siendo especialmente intensa para la época del año en la que nos encontramos.
Este tipo de amenazas, dirigidas principalmente a pequeñas y medianas empresas están diseñadas para robar todo tipo de credenciales, aunque también pueden utilizarse por parte de los delincuentes para obtener acceso remoto y persistencia a las máquinas infectadas, usándolas como punta de lanza para realizar movimientos laterales y comprometer la red corporativa.
La campaña observada durante estos días sigue el patrón habitual de utilizar correos electrónicos que suplantan la identidad de otras empresas para invitar al usuario a que descargue un fichero adjunto. Las facturas y presupuestos siguen siendo uno de los ganchos con mayor efectividad, a pesar de ser una técnica que está siendo utilizada desde hace mucho tiempo.
Los ficheros adjuntos a estos correos suelen estar comprimidos para evitar que su contenido sea marcado como potencialmente peligroso por el propio sistema operativo al haber sido descargado de internet. Sin embargo, esto no impide que sean fácilmente detectables por las soluciones de seguridad actuales. Aun así, no pocos usuarios descargan los ficheros maliciosos y tampoco cuentan con una solución de seguridad instalada (o esta no se encuentra debidamente configurada).
En el interior del archivo comprimido es donde se encuentra el fichero responsable de indicar la cadena de infección. En este caso observamos como se trata de un archivo con código JavaScript, en lugar de un ejecutable, una tendencia que se ha incrementado en los últimos días si revisamos las muestras enviadas a Malware Bazaar relacionadas con Snake Keylogger o su variante VIP Keylogger.
En lo
que respecta al código JavaScript en sí, este tiene una estructura particular
ya que se trata de ficheros bastante grandes, de más de 3MB cada uno y que
tienen una estructura de código llena de variables y funciones pensadas para
dificultar el análisis estático de esta amenaza.
Además,
incorporan mucho texto de relleno para tratar de complicarle la vida a las
soluciones de seguridad mediante el uso de la técnica de evasión conocida como binary
padding. Esta técnica es usada desde hace mucho tiempo por amenazas de todo
tipo, como los troyanos bancarios
latinoamericanos
y consiste en rellenar el código malicioso con datos inservibles, llegando a
poder ocupar cientos de megas en disco con la intención de evitar soluciones de
seguridad y sandboxes que tienen un límite de tamaño a la hora de analizar
archivos sospechosos.
Una vez el código malicioso inicia la cadena de infección, el fichero JavaScript funciona como el descargador inicial, ejecutando a continuación el archivo MVRQVLIGGSJHRSDO.PIF. Este fichero PIF contiene múltiples componentes maliciosos, entre los que se encuentran:
- DonutLoader: Actuando como un framework para cargar/inyectar componentes adicionales.
- Telegram RAT: Herramienta de acceso remoto gestionada por Telegram usando su API.
- Snake Keylogger (o su variante VIP Keylogger): Detectado en la memoria del sistema y con una configuración ya predefinida que especifica el servidor SMTP que se utilizará para exfiltrar las credenciales robadas.
Este tipo de amenazas se caracterizan por estar diseñadas para robar información de las máquinas a la que infecta, información como la siguiente:
- Datos del navegador: accede al directorio del perfil del usuario de los navegadores de internet como Chrome en busca de su historial cookies y credenciales almacenadas.
- Credenciales de email: Intenta recopilar credenciales de correo de los perfiles definidos en clientes como Postbox y Outlook, a través del sistema de ficheros o accediendo al registro del sistema.
- Registro de pulsaciones: amenazas como Snake Keylogger/VIP keylogger capturan las pulsaciones del teclado en busca de credenciales.
Esta campaña está en sintonía con muchas otras que hemos ido observando a lo largo de los últimos meses, con la particularidad del uso casi exclusivo de ficheros JavaScript para iniciar la cadena de infección. Además, resulta curiosos que se detecte tal actividad en un mes en el que muchos puestos de trabajo no están activos porque los usuarios se encuentran de vacaciones.
No obstante, durante este periodo también se relaja en exceso la ciberseguridad en muchas empresas y este puede ser uno de los motivos por lo que los delincuentes se continúen lanzando estas campañas durante esta época. En cualquier caso, siempre es importante contar con una solución de seguridad capaz de detectar estas amenazas y revisar los correos que recibimos, especialmente si se trata de emails dirigidos a departamentos de administración y finanzas, el remitente no nos resulta familiar y se nos pide la descarga de un fichero.