Los analistas de Zscaler ThreatLabs han examinado los últimos desarrollos del grupo chino APT41/Earth Baku. Fue entonces cuando descubrieron DodgeBox. Un cargador previamente desconocido que muestra sorprendentes similitudes con StealthVector.
DodgeBox es un cargador de biblioteca de vínculos dinámicos (DLL) escrito en C que carga un nuevo malware de puerta trasera llamado MoonWalk. Conceptualmente, tiene claras similitudes con StealthVector, pero contiene mejoras significativas en la implementación. MoonWalk, por su parte, aprovecha muchas de las técnicas alternativas implementadas en DodgeBox y utiliza Google Drive para comunicaciones de comando y control (C2).
Cadena de ataque de DodgeBox
Como parte de un ataque a través de DodgeBox, la descarga de DLL se utiliza como medio de ejecución. Esto utiliza un ejecutable legítimo (taskhost.exe) para descargar una DLL maliciosa (sbiedll.dll). Esta DLL maliciosa actúa como un cargador y es responsable de descifrar una carga útil de un archivo DAT (sbiedll.dat). La carga útil descifrada, llamada MoonWalk, actúa como una puerta trasera que abusa de Google Drive para las comunicaciones de comando y control (C2).
En la fase final de la cadena de ataque, DodgeBox comienza el proceso de descifrado del archivo de carga útil de MoonWalk. Primero se examinan los primeros cuatro bytes del archivo. Si estos bytes no son cero, significa que el archivo DAT está asociado con un sistema específico. Sin embargo, si el archivo DAT no es específico de la máquina, Dodgebox comienza a descifrar usando AES-CFB y usa parámetros que se almacenan en el archivo de configuración. En las muestras de malware analizadas por ThreatLabz, el archivo DAT descifrado corresponde a la puerta trasera MoonWalk.
Suscríbete al boletín ahora
Lea las mejores noticias de SEGURIDAD CIBERNÉTICA B2B una vez al mesMoonwalk es el nombre de la nueva amenaza de puerta trasera
MoonWalk es una puerta trasera de malware también escrita en C que comparte muchas similitudes de código con DodgeBox, lo que sugiere un conjunto de herramientas de desarrollo compartido. También contiene funciones de derivación similares a las de DodgeBox, que incluyen:
- DLL ahuecado
- Resolución de importación
- DLL desenganchando
- Falsificando la pila de llamadas
Además, MoonWalk utiliza la misma lista de bloqueo de DLL que DodgeBox. Por lo tanto, MoonWalk representa un nuevo nivel de amenaza. Utiliza Google Drive para la comunicación C2, lo que hace que se mezcle con el tráfico legítimo de la red y sea difícil de detectar. Además, MoonWalk utiliza técnicas innovadoras como la manipulación de Windows Fibers para evitar las soluciones antivirus y EDR (Endpoint Detección y Respuesta). Estas técnicas hacen de MoonWalk una de las puertas traseras más complejas descubiertas hasta la fecha. El diseño modular de MoonWalk permite a los atacantes adaptar rápidamente la funcionalidad de la puerta trasera para satisfacer diferentes necesidades. Esta flexibilidad presenta un desafío importante para los investigadores de seguridad y los equipos azules que se enfrentan a esta amenaza en constante evolución.
DodgeBox y Moonwalk se están extendiendo por el sudeste asiático
El examen de los datos de telemetría muestra que DodgeBox y MoonWalk se dirigen particularmente a regiones del sudeste asiático, incluidas Tailandia y Taiwán. Esta observación es consistente con casos anteriores en los que APT41 utilizó StealthVector para sus campañas dirigidas principalmente a usuarios de la región del Sudeste Asiático (SEA). Además, se descubrieron datos personales de personas de la India en la cuenta de Google Drive controlada por el actor de malware, lo que sugiere que el grupo puede tener objetivos adicionales en la India en mente.
Mal uso de Google Drive
DodgeBox es un cargador de malware recientemente identificado que utiliza múltiples técnicas para evadir la detección tanto estática como de comportamiento. El cargador se basa en una combinación de TTP conocidos, posibles países objetivo y similitudes con StealthVector. La carga útil descendente MoonWalk es una puerta trasera modular que se basa en técnicas previamente desconocidas, como el uso de Windows Fibers.
Estas técnicas de evasión, combinadas con el uso de un complejo protocolo de comunicación C2 personalizado que abusa de Google Drive para infiltrarse en el tráfico legítimo, demuestran la alta sofisticación de los atacantes APT41. Los analistas de ThreatLabz continúan monitoreando las últimas tácticas, técnicas y procedimientos (TTP) de este actor de amenazas. La plataforma de seguridad en la nube multifuncional de Zscaler detecta los indicadores de compromiso (IoC) y protege a los clientes de nuevos métodos de ataque. Además, los conocimientos de los análisis se comparten con la comunidad de seguridad.
Vaya directamente al informe en Zscaler.com
Acerca de Zscaler Zscaler acelera la transformación digital para que los clientes puedan volverse más ágiles, eficientes, resilientes y seguros. Zscaler Zero Trust Exchange protege a miles de clientes de ataques cibernéticos y pérdida de datos al conectar personas, dispositivos y aplicaciones de forma segura en cualquier lugar. Zero Trust Exchange basado en SSE es la plataforma de seguridad en la nube en línea más grande del mundo, distribuida en más de 150 centros de datos en todo el mundo.