Regla de la Semana: Detección de Malware QakBot

El troyano bancario QakBot (también conocido como QBot) ha sido utilizado en ataques a organizaciones durante más de 10 años, y sus autores monitorean continuamente las tendencias del panorama de amenazas, añadiendo nuevas características o eliminándolas si no funcionan correctamente. En 2017, este malware poseía capacidades similares a un gusano y era capaz de bloquear a los usuarios de Active Directory para causar daños adicionales a las organizaciones. En 2019, los adversarios usaron este troyano en ataques contra instituciones gubernamentales de EE. UU. entregándolo junto con el malware IcedID a través de Emotet. Además, los autores del malware retuvieron las características polimórficas de QBot y añadieron nuevos vectores de infección y múltiples mecanismos de persistencia. Este troyano suele propagarse a través de correos electrónicos de phishing con archivos adjuntos maliciosos.

Ahora QakBot está «ayudando» a un nuevo jugador en la escena del ransomware – ProLock ransomware – a infectar redes corporativas y anunciaron ruidosamente su alianza a finales de abril con un exitoso ataque a Diebold Nixdorf. En el pasado, QakBot fue utilizado para entregar el ransomware MegaCortex, ya que este troyano posee las capacidades y herramientas adicionales que los operadores de ransomware necesitan para infectar servidores críticos. La regla comunitaria de Emir Erdogan se basa en los últimos indicadores de compromiso y es capaz de detectar esta infección en la red de su organización: https://tdm.socprime.com/tdm/info/8vslvqdm0uRX/IyHENnIBjwDfaYjK_ZeI/?p=1

Entrevista con el desarrollador de contenido: https://socprime.com/en/blog/interview-with-developer-emir-erdogan/

La regla tiene traducciones para las siguientes plataformas:

SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, Logpoint, Humio, 

EDR: Carbon Black,Elastic Endpoint

MITRE ATT&CK: 

Tácticas: Evasión de Defensa, Ejecución, Acceso Inicial, Escalada de Privilegios, Persistencia

Técnicas: Firma de Código (T1116), Ejecución a través de Carga de Módulo (T1129), Inyección de Procesos (1055), Tarea Programada (1053)

Más contenido para detectar este malware:

Detección del troyano QBot/QakBot (Comportamiento Sysmon) por Emir Erdogan – https://tdm.socprime.com/tdm/info/9aOw7wqzGVM7/R0Iyom4ByU4WBiCt_zvQ/

Detector de QakBot (Sysmon) por SOC Prime – https://tdm.socprime.com/tdm/info/SK8nqjq4237M/Wm7wzGgBFVBAemBcdw4V/

Detector de Malware Qakbot (Comportamiento Sysmon)(27-Marzo-2020) por Lee Archinal – https://tdm.socprime.com/tdm/info/Gi5YxC2sRJEO/-EEHK3EBya7YkBmwnOoO/